RT

Sieci komputerowe

Monitoring i zarządzanie

Sieci + CyberbezpieczeństwoPoziom: PodstawowyI i II stopień

Monitoring porównuje bieżący stan z udokumentowaną bazą odniesienia. Dobre zarządzanie łączy metryki, logi, czas, konfiguracje i odpowiedzialność za reakcję.

baselineSNMPv2c / SNMPv3SyslogNTPIPFIX

Cele lekcji

Czego się nauczysz

  • Dobierzesz metryki do usług i urządzeń.
  • Porównasz SNMPv2c z SNMPv3 oraz polling z trap i inform.
  • Zinterpretujesz poziomy Syslog i skorelujesz wpisy dzięki spójnemu czasowi.
  • Odróżnisz awarię techniczną od zdarzenia wymagającego analizy bezpieczeństwa.
  • Zaprojektujesz użyteczne progi, alerty i retencję danych.

Wymagania wstępne

  • Urządzenia sieciowe
  • TCP/UDP i porty
  • Podstawy bezpieczeństwa

Proces

Od inwentaryzacji do baseline

Inwentaryzacja wiąże urządzenie z lokalizacją, rolą, właścicielem, wersją oprogramowania, interfejsami i terminem wsparcia. Dokumentacja topologii i adresacji pozwala interpretować alarmy.

Baseline to normalny zakres zachowania mierzony w reprezentatywnym okresie. Bez niego pojedyncza wartość wykorzystania lub opóźnienia ma ograniczone znaczenie.

  • Określ usługi krytyczne i oczekiwane poziomy dostępności.
  • Zbieraj dane z wiarygodnym znacznikiem czasu.
  • Powiąż alarm z właścicielem i procedurą reakcji.

Metryki

Co mierzyć

Przepustowość nominalna interfejsu nie jest przepływnością użyteczną aplikacji. Krótki skok nie musi być awarią; utrzymujący się trend może wymagać planowania pojemności.

Co mierzyć
ObszarPrzykładyInterpretacja
Dostępnośćtest usługi, stan interfejsuping nie dowodzi działania aplikacji
Obciążeniebity/s, pakiety/s, CPU i pamięćporównuj z pojemnością, kierunkiem i baseline
Jakośćopóźnienie, jitter, utratamierz w kontekście ścieżki i aplikacji
BłędyCRC, errorsczęsto wskazują warstwę fizyczną lub duplex
Odrzuceniadrops, discardsmogą wynikać z przeciążenia, kolejki albo polityki
Urządzenietemperatura, zasilanie, wentylatorprogi zależą od platformy i środowiska

Odczyt i bezpieczeństwo

SNMPv2c i SNMPv3

MIB opisuje strukturę zarządzanych obiektów, a OID identyfikuje konkretny obiekt. Polling okresowo odpytuje urządzenie. Trap jest jednostronnym powiadomieniem, a inform wymaga potwierdzenia na poziomie SNMP.

  • Nie wystawiaj interfejsu zarządzania do niezaufanej sieci.
  • Stosuj konto tylko do odczytu, jeśli zapis nie jest potrzebny.
  • Weryfikuj liczniki 32/64-bit i sposób obliczania tempa.
SNMPv2c i SNMPv3
CechaSNMPv2cSNMPv3
Kontrola dostępucommunity stringużytkownik i model bezpieczeństwa
Uwierzytelnieniebrak współczesnej ochrony wiadomościmożliwe auth z kontrolą integralności
Poufnośćbrak szyfrowania treścimożliwa prywatność w wariancie authPriv
Zastosowaniestarsze, ściśle izolowane środowiska po ocenie ryzykapreferowane zarządzanie z ograniczonych źródeł

Severity 0-7

Poziomy komunikatów Syslog

Niższy numer oznacza wyższy poziom ważności protokołu Syslog. Severity nie jest gotową oceną wpływu na organizację: wpis warning może ujawnić powtarzającą się anomalię, a error może pochodzić z kontrolowanego testu.

Poziomy komunikatów Syslog
NumerNazwaZnaczenie skrócone
0Emergencysystem jest niezdatny do użycia
1Alertwymagane natychmiastowe działanie
2Criticalstan krytyczny
3Errorbłąd
4Warningostrzeżenie
5Noticeistotny stan normalny
6Informationalinformacja
7Debugdane diagnostyczne

Zarządzanie

Logi, czas i konfiguracje

Centralny system Syslog powinien zachować źródło, czas, treść i kontekst. NTP zapewnia spójny czas niezbędny do korelacji zdarzeń. SSH chroni interaktywną administrację, a automatyczne kopie konfiguracji umożliwiają odtworzenie i kontrolę zmian.

  • Ogranicz dostęp do logów, ponieważ mogą zawierać dane wrażliwe.
  • Testuj odtwarzanie kopii, nie tylko ich tworzenie.
  • Rejestruj zmianę, autora, powód i wynik walidacji.

Interpretacja logów

Awaria czy możliwy incydent

Pojedynczy log jest wskazówką, nie pełnym dowodem. Incydent wymaga triage: potwierdzenia źródła, czasu, zakresu, wpływu i relacji z innymi zdarzeniami.

Awaria czy możliwy incydent
Przykładowy zapisPierwsza hipotezaDane uzupełniające
LINK-3-UPDOWN: Gi1/0/8 changed state to downodłączenie, awaria toru albo praca serwisowaharmonogram, sąsiedni port, CRC, zasilanie i lokalizacja
AUTH-4-LOGIN_FAILED from 192.0.2.44błąd hasła albo nieautoryzowana próbaliczba prób, konto, źródło, sukcesy logowania i MFA
POWER-3-POE_DENYprzekroczony budżet lub niezgodność urządzeniabudżet PoE, pobór maksymalny, klasa i stan zasilacza
CONFIG-5-CHANGED by adminplanowana lub nieautoryzowana zmianazgłoszenie zmiany, accounting, diff i właściciel

Widoczność ruchu

NetFlow, IPFIX i centralizacja

Telemetria przepływów opisuje rozmowy metadanymi, np. adresami, portami, protokołem, liczbą bajtów i czasem. IPFIX jest standardem IETF, natomiast NetFlow jest rodziną rozwiązań historycznie związaną z Cisco. Dane przepływów nie są pełnym przechwyceniem pakietów.

Centralizacja ułatwia korelację, lecz tworzy cenny zbiór wymagający kontroli dostępu, szyfrowania, retencji i monitorowania integralności.

Operacje

Progi i alerty bez zmęczenia

  • Próg powinien odpowiadać objawowi wymagającemu działania, a nie każdej zmianie.
  • Stosuj histerezę, opóźnienie potwierdzenia i grupowanie zależnych alarmów.
  • Rozróżnij ostrzeżenie, degradację i awarię.
  • Eliminuj alerty bez właściciela lub procedury.
  • Regularnie przeglądaj fałszywe alarmy oraz zdarzenia niewykryte.

Procedura

Diagnostyka systemu monitoringu

  • Potwierdź, czy problem dotyczy usługi, urządzenia, ścieżki czy samego kolektora.
  • Porównaj bieżącą wartość z baseline, trendem i pomiarem z drugiego źródła.
  • Sprawdź czas NTP, kompletność logów, uprawnienia SNMP i łączność z siecią zarządzającą.
  • Zweryfikuj próg, okno czasowe, histerezę oraz zależności między alarmami.
  • Po korekcie wywołaj bezpieczne zdarzenie testowe i potwierdź odbiór oraz zamknięcie alarmu.

Kontrola jakości

Najczęstsze błędy monitoringu

  • Używanie SNMPv2c w szeroko dostępnej sieci i traktowanie community string jak szyfrowania.
  • Alarmowanie na podstawie pojedynczej próbki bez baseline i histerezy.
  • Brak synchronizacji czasu lub mieszanie stref czasowych bez normalizacji.
  • Zbieranie logów bez retencji, właściciela i procedury reakcji.
  • Uznawanie każdego błędu technicznego za incydent albo ignorowanie powtarzalnej anomalii.

Praktyka

Bezpieczny przykład odczytu

Platforma: Windows PowerShell i Linux. Cel: pomiar lokalnej łączności bez zmiany konfiguracji. Tryb: zwykły użytkownik, o ile polecenie nie zawiera sudo.

# Windows PowerShell
Test-Connection example.com -Count 4
Get-NetAdapterStatistics

# Linux
ping -c 4 example.com
ip -s link

Oczekiwany rezultat: Próbki opóźnienia ICMP i lokalne liczniki interfejsów. Wynik nie potwierdza samodzielnie dostępności wszystkich usług.

Praca własna

Zadanie samodzielne — monitoring małej infrastruktury

Dla routera, switcha PoE, punktu dostępowego i serwera zaprojektuj tabelę metryk, metodę zbierania, próg początkowy, severity, właściciela, retencję oraz test alarmu. Dodaj dwa przykładowe logi i opisz, jakie dane są potrzebne, aby odróżnić awarię od możliwego incydentu.

Zadania

Zadania tematyczne

Odpowiedzi ukryte

Najpierw rozwiąż zadania samodzielnie. Odpowiedzi rozwiń dopiero wtedy, gdy masz własny wynik.

Zadanie 1łatwyStudia I stopniaCzym różni się SNMP polling od trap?
Sprawdź odpowiedź: Polling jest okresowym odpytywaniem urządzenia przez system monitoringu. Trap to jednostronne powiadomienie wysyłane przez urządzenie po zdarzeniu i może zostać utracone, dlatego zwykle uzupełnia polling.
Zadanie 2średniStudia I stopniaDlaczego SNMPv3 z authPriv jest bezpieczniejszym wyborem niż SNMPv2c?
Sprawdź odpowiedź: SNMPv2c opiera kontrolę dostępu na community string i nie zapewnia współczesnej ochrony treści. SNMPv3 może zapewnić uwierzytelnienie i prywatność transmisji, choć nadal wymaga ograniczenia źródeł i minimalnych uprawnień.
Zadanie 3średniStudia II stopniaCzy pojedynczy komunikat Syslog o poziomie error zawsze oznacza incydent bezpieczeństwa?
Sprawdź odpowiedź: Nie. Severity opisuje ważność komunikatu według źródła, a nie wpływ biznesowy ani intencję. Potrzebny jest kontekst usługi, baseline, inne logi i potwierdzenie zakresu.
Zadanie 4trudniejszyStudia II stopniaInterfejs flappuje sześć razy po godzinach, a chwilę później pojawiają się nieudane logowania. Jakie dane skorelujesz?
Sprawdź odpowiedź: Czas NTP, identyfikator i lokalizację urządzenia, logi link up/down, źródła logowań, accounting zmian, stan portu, liczniki błędów oraz zaplanowane prace. Dopiero korelacja pozwala odróżnić awarię, pracę serwisową i możliwy incydent.

Praktyka

Ćwiczenie praktyczne — Plan monitoringu infrastruktury

  1. Dla switcha dostępowego wybierz pięć metryk, progi wstępne i osobę odpowiedzialną za alarm.
  2. Wyjaśnij różnicę między SNMP polling, trap, Syslog i IPFIX.
  3. Zaproponuj retencję danych dla metryk, logów administracyjnych i kopii konfiguracji wraz z uzasadnieniem.
  4. Porównaj profil SNMPv2c i SNMPv3 authPriv dla tej samej sieci zarządzającej, nie zapisując prawdziwych sekretów.
  5. Przypisz poziomy Syslog do czterech przykładowych wpisów i oddziel severity od wpływu biznesowego.
  6. Zbuduj oś czasu z logów link down, nieudanego logowania i zmiany konfiguracji; wskaż brakujące dane oraz bezpieczny test potwierdzający.

Najważniejsze wnioski

Podsumowanie

  • Monitoring wymaga inwentaryzacji, baseline i kontekstu usług.
  • SNMP, Syslog i IPFIX dostarczają różne rodzaje danych, a SNMPv3 umożliwia silniejszą ochronę niż community strings SNMPv2c.
  • Spójny czas NTP umożliwia wiarygodną korelację logów.
  • Dobry alarm prowadzi do konkretnego działania i nie myli severity z wpływem biznesowym.
Lista: Sieci komputerowe
NmapWireshark