Lancope объявила, что ее продукт StealthWatch обеспечивает возврат инвестиций (ROI) в размере 259% в течение трех лет, согласно исследованиям Forrester Consulting \"Полное экономическое влияние Lancope StealthWatch\", проведенным в июне 2012 г. В этом исследовании указано также, что StealthWatch окупается за 10 месяцев.
Полный список финансово значимых преимуществ StealthWatch, перечисленный в этом документе, включает в себя:

• Отсутствие затрат, присущих альтернативным решениям
• Экономия затрат на обслуживание при замене сторонних решений
• Уменьшение затрат на определение и исправление инцидентов в сфере безопасности
• Влияние улучшенной прозрачности сети на работу help desk и системы поддержки от tier-one до tier-three
• Выигрыш в продуктивности подразделения обслуживания сети.

19 июля Lancope проводит вебинар, на котором будут обсуждаться результаты этого исследования. Зарегистрироваться на вебинар можно здесь: http://www.lancope.com/news-events/webinars/achieving-259-roi-with-stealthwatch/.
Полный текст исследования можно найти здесь: http://www.lancope.com/resource-center/industry-re...-economic-impact-stealthwatch/

Противостояние этих двух устройство очень бурно обсуждается на форуме Cisco. Нас это сравнение интересует исключительно только с точки зреия поддержки NetFlow и IPFIX. Когда речь идет об отчетности для для файервола, нас интересует:

• Традиционная отчетность по потокам
• Отчетность по логам
• Другие интересные данные экспорта потоков (например, имена пользователей)

Что касается отчетности по логам, то почти все файерволы сегодня экспортируют syslogs, а некоторые экспортируют логи в датаграммах NetFlow. Файерволы Cisco ASA и SonicWall, например, поддерживают и то и другое.

Даже учитывая наличие некоторых проблем с экспортом NetFlow у Cisco ASA, мы получаем здесь отличные отчеты на базе NetFlow:

• Крупнейшие потребители трафика, приложения, протоколы и т.п.
• Имена пользователей, что очень полезно для мониторинга безопасности BYOD (мобильных систем)
• Списки контроля нарушений доступа
• Изменения сетевых адресов

Пример отчета для Cisco ASA NSEL:

Juniper SRX не экспортирует логи и если вы посмотрите в конфигурацию J-Flow (аналог NetFlow, используемый компанией Juniper), то это в основном sampled NetFlow. Ну и кому понравится быть ограниченным  только этой возможностью? Это похоже на отчетность по sFlow.
Экспорт NetFlow также очень важен, если мы начинаем заниматься проблемой обнаружения продвинутых постоянных угроз (advanced persistent threats). Многие решения обеспечения безопасности на базе NetFlow
передают потоки в базу данных репутации хостов, чтобы определять коммуникации с известными вредоносными хостами. NetFlow Sampling, к сожалению, может не заметить отдельные угрозы.

Для информации.
Все крупнейшие игроки на рынке файерволов поддерживают технологию анализа пакетов. Cisco ASA, Juniper SRX (sampled), SonicWALL, Barracuda, Palo Alto Networks, Checkpoint и Fortinet (sFlow) - все они используют ее.

По сообщениям прессы, троянская программа поразила более 650 тысяч компьютеров Mac, напугав пользователей, которые чувствовали себя вне опасности в отличие от пользователей Windows. Учитывая это, предприятиям, которые используют в работе мобильные устройства (bring-your-own-device, BYOD), необходимо укрепить свою защиту.
Компанию Apple всегда критиковали за медленный выпуск обновлений, связанных с критическими проблемами безопасности. Поскольку рыночная доля Apple постоянно увеличивается, пользователям, предприятиям и собственно Apple должны быть готовы росту количества и опасности атак, направленных на операционную систему Mac OS X.
В сегодняшних условиях размывания сетевого периметра и возрастания количества мобильных устройств в сетевой среде администраторам становится все труднее контролировать и защищать сеть . Сотрудники хотят иметь возможность использовать в работе любое устройство, которое им больше подходит, включая и домашний Mac. И, естественно, они будут входить в сеть с помощью этих устройств, тем самым подвергая значительному риску безопасность корпоративной информационной системы.
И как тогда администратор может помешать троянцу, такому как Flashback, пройти сквозь границы корпоративной сети, не имея возможности контролировать устройства, которые пользователи принесли с собой на работу? А также без возможности указывать им, какие инструменты обеспечения безопасности они должны инсталлировать на своих устройствах?
Единственное решение, которое позволяет решить проблему обеспечения безопасности при масштабном использовании BYOD, является NetFlow. Система, анализирующая данные NetFlow, позволяет глубоко просматривать процессы и активности, которые происходят во всей сети. Именно так можно получить возможность  контролировать любое устройство, получившее доступ в сеть - без необходимости инсталлировать какое-либо ПО или устанавливать дорогостоящие пробы (зонды).
Например, система мониторинга потоков Lancope StealthWatch путем сбора ценной информации о персональных устройствах, включая тип устройства, идентификационные данные пользователя, безопасность ресурсов, к которым обращается устройство, физическое расположение устройства, может эффективно обеспечить безопасность и гарантировать, что мобильные устройства не загружают конфиденциальные данные или не заражают вредоносным ПО другие системы.

По данным компании Lancope

Компания Blue Coat выпустила новую версию (v9) своей операционной системы для устройств PacketShaper и впервые в отрасли смогла обеспечить контроль сети, приложений и контента для "невидимых сетей" IPv6, которые в настоящее время никак не отслеживаются в существующих корпоративных сетях IPv4.
Кроме того, новое программное обеспечение обеспечивает масштабируемую производительность до 8 Гбит/с, что позволяет устройствам PacketShaper успешно работать все в более быстрых и нагружаемых сетях, с большим трафиком приложений и масштабными загрузками больших файлов.

Новая версия ОС позволяет пользователям отслеживать трафик IPv6 также, как любой другой трафик.
PacketShaper v9 может контролировать такие приложения на базе IPv6, как CIFS, FTP, SSL, HTTP, Exchange и многие другие. Суммарно сегодня PacketShaper может отслеживать более 700 приложений и десятки миллионов веб-сайтов в 84 категориях. Операционная система PacketShaper v9 теперь может предоставлять суммарный отчет по IPv6, при этом разделяет весь трафик на IPv6, IPv4 и non-IP.
PacketShaper v9 отличается также очень быстрым откликом интерфейса пользователя, увеличенной примерно в 10 раз способностью реагирования и высокой степенью интерактивности.

Новая система доступна уже сейчас. Апгрейд бесплатен для всех систем, которые обслуживаются в рамках действующих соглашений о поддержке.

NetFlow v5 предоставляет нам возможность взглянуть в глубину сетевого трафика, NetFlow v9 дает еще больше средств, Flexible NetFlow является, хм..., flexible, ну а IPFIX что дает нам по сравнению с NetFlow?
Сейчас несколько вендоров уже поддерживают IPFIX. Это:

• Juniper
• Lancope
• Nortel
• SonicWALL
• Extreme
• NTOP
• Plixer

Итак... Коммутаторы, файерволы, программное обеспечение. Да, достаточно большой набор устройств, которые могут поставлять информацию в коллекторы IPFIX.
Сравним два варианта экспорта.   Далее...

По мере роста корпоративной сети ею становится все более трудно управлять. Вы теряете возможность отслеживать процессы, которые в ней происходят, вы тратите деньги и силы, стараясь сохранить ее работоспособность. Для того, чтобы решить эти и многие другие задачи, появились системы, позволяющие контролировать и анализировать все происходящее в сети. Что же могут такие системы? Рассмотрим это на примере одной самых популярных и мощных систем контроля сетевого трафика на базе анализа данных NetFlow - Lancope StealthWatch.

Знаете ли вы, что ваши сотрудники 20% рабочего времени тратят на развлечения? Внедрение системы мониторинга и анализа сетевого трафика поможет обнаружить нежелательные сервисы, такие как использование P2P, участие в онлайновых играх, переписка в системах мгновенных сообщений, возможно также обнаружение нетипичных передач информации.

Знаете ли вы, что раннее обнаружение аномалий или атак может предотвратить события (и связанные с этим затраты), которые способны нанести вам материальный или репутационный ущерб? Система постоянного контроля сетевого трафика вполне эффективно справляется с предотвращением подобных проблем.

И это только немногое из того, что могут такие системы. Далее...

Компания Lancope объявила, что ее флагманский продукт StealthWatch теперь может анализировать сеть, включающую и мобильные устройства, обеспечивая таким образом высокий уровень защищенности в среде т.н. bring-your-own-device (BYOD).
Используя возможности анализа информации с мобильных устройств, собранной через существующую сетевую инфраструктуру, StealthWatch без дополнительных затрат и необходимости установки дополнительного ПО или оборудования может детектировать все события, источником которых являются любое устройство в сети.
Традиционные механизмы определения угроз, такие как пробы, антивирусы и IDS/IPS очень быстро становятся слишком дорогими и неэффективными в среде BYOD. В отличие от этих технологий, StealthWatch использует NetFlow и другие потоковые данные, получаемые из сетевой инфраструктуры, для обеспечения полномасштабной визуализации всех процессов в условиях резко меняющейся сетевой среды и высокой степени риска.
"Мобильные пользователи очень часто подвергают риску корпоративную безопасность сети и сегодня становится очень сложно, а часто и вовсе невозможно, устанавливать систему безопасности для кажого нового устройства, - говорит Джо Ягер (Joe Yeager), директор по продукт-менеджменту компании Lancope. - "Около 75% компаний позволяют своим работникам применять личные мобильные устройства на работе, и теперь наступило время для систем, подобных StealthWatch, которые используют возможности существующей инфраструктуры для обеспечения мониторинга действий любых устройств, которые подключаются к сети".
Традиционные механизмы определения угроз, такие как пробы, антивирусы и IDS/IPS быстро становятся слишком дорогими и неэффективными в среде BYOD. В отличие от этих технологий, StealthWatch использует NetFlow и другие данные потоков, получаемые из инфраструктуры, для обеспечения полномасштабной визуализации сети в условиях резко меняющейся сетевой среды и высокой степени риска.
Используя возможности сложного поведенческого анализа, StealthWatch может фиксировать аномальное поведение в любом месте сети, включая и персональные смартфоны, планшеты или ноутбуки. Таким образом появляется возможность быстро и легко отражать внешние атаки, такие как ботнеты, черви или угрозы продолжительного действия, а также фиксировать внутренние риски, включая неправильное использование сети, нарушение политик безопасности, утечки данных. И при этом независимо от того, какие устройства используются для этого.

Дистрибутором Lancope в России является компания Web Control.

Компания Palo Alto Networks предполагает в ближайшее время ввести поддержку NetFlow в свои продукты. Разработчики компании не только поддерживают традиционный функционал NetFlow, но и функцию глубокого анализа пакетов (DPI, Deep Packet Inspection) для идентификации приложений, таких как Skype, BitTorrent, Webex и др. Многие из современных средств анализа NetFlow ошибочно идентифицируют этот трафик как HTTP (TCP 80). Cisco NetFlow NBAR - это подобная технология, которая делает мониторинг сетевого трафика более информативным, особенно при попытке проведения анализа причин событий. Этой функции в экспорте Cisco ASA NetFlow нет.

Как можно увидить из скриншота экспортируется и имя пользователя. Поддержка этого функционала объявлена в Palo Alto Networks OS v4.1.
Более подробно о NetFlow можно узнать в www.netflowfaq.ru

Компания дополнила свои продукты этим функционалом для повышения качества работы аналитических систем сети. Новая возможность позволяет предприятиям и операторам полностью реализовать возможности уже сделанных инвестиций путем повышения производительности и точности установленных в сети средств мониторинга и анализа пакетного трафика.
"Мы обеспечили возможность получать великолепные результаты в условиях, когда бизнес растет, ресурсов не хватает, а компании должны корректировать неэффективность работы сетей и добавлять интеллектуальные инструменты для оптимизации ее производительности, - говорит Мартин Бреслин, CEO компании VSS Monitoring. - Наша цель - предлагать новые решения, которые помогут нашим потребителям получить лучший возврат от сделанных инвестиций, повысив при этом прозрачность работы сети, уменьшив задержки и ликвидировав "черные дыры", влияющие на производительность".

Далее: http://www.sacbee.com/2011/12/12/4116625/vss-monitoring-releases-monitoring.html

Компания EdgeWave была единственным производителем, рассматриваемым в области решений класса Secure Content Management (SCM), и одной из 10 компаний, признанных Инноватором года. Признание этой награды явилась очевидным шагом после присвоения системе EdgeWave пятизвездочного рейтинга и статуса "Рекомендованное решение", о которых журнал объявил ранее в этом же году.
Решение EdgeWave включает в себя многократно награжденные системы iPrism Web Security и ePrism Email Security Suite, которыеобеспечивают высококачественное фильтрацию контента и email, а также Email Continuity, DLP, Encryption и Archiving.

Журнал SC Magazine является одним наиболее уважаемых в мире изданий в сфере систем безопасности.

http://www.edgewave.com/pr/news/releases/254.asp

Компания Blue Coat, которая специализируется на разработке решений в области веб-безопасности и оптимизации WAN, объявила о том, что будет куплена группой инвесторов во главе с американской частной инвестиционной компанией Thoma Bravo.

Компания покупается за сумму, примерно на 50% превышающую рыночную стоимость. Совет директоров Blue Coat уже одобрил данную сделку и в настоящее время требуется согласие акционеров.

Компания Thoma Bravo уже владеет рядом известных компаний в области безопасности и сетевых технологий, в частности SonicWALL, Tripwire, Entrust, NetIQ. Помимо инвестиционной фирмы Thoma Bravo из Сан-Франциско, в сделке также участвуют инвестиционное подразделение Ontario Teachers' Pension Plan и ряд других фондов.

Компания опубликовала аналитический прогноз на 2012 год, где упомянуты пять основных угроз в области информационной безопасности. Эти предсказания касаются основных типов атак, которых следует ожидать в будущем году, и объясняют какой риск несут эти атаки.В 2011 году многие организации пострадали от подобных атак - вспомним только публикации WikiLeaks или атаки Anonymous и LulzSec. В следующем году следует ожидать подобной ситуации, если не более тяжелой.

Главные пять угроз по версии Lancope в 2012 году - это:
1. Продвинутые непрерывные угрозы (Advanced persistent threats, APTs) будут преобладать.
2. Потери от инсайдерской деятельности будут увеличиваться.
3. Атаки на промышленные системы останутся на том же уровне.
4. Угрозы, связанные с ошибочными действиями персонала, будут создавать постоянный риск.
5. Количество полностью автоматизированных атак будет уменьшаться.

Далее...

Компания была награждена за свои усилия по внедрению средств на базе NetFlow для защиты государственных и корпоративных сетей. Премией GSN Homeland Security Awards отмечают организации, которые приложили максимум усилий для обеспечения партнерства между государственными организациями всех уровней в США и производителями продуктов, решений и технологий в сфере информационной и физической защиты.  Системе Lancope StealthWatch доверили свои сети сотни государственных учреждений и корпораций, которые нуждались в надежной и интеллектуальной системе защиты информационных систем, обладающей возможностью реакции на возникающие инциденты. Далее…

Сегодня мы можем наблюдать резкий скачок в развитии технологий передачи данных в мобильных сетях.  Совсем недавно и практически одновременно было объявлено о двух событиях – ратификации стандарта Ethernet в 40,100 Гбит/с и появлении коммерчески доступных мобильных сервисов класса 4G. Всемирная ассоциация поставщиков мобильных сетей недавно даже заявила, что 4G/LTE является самой быстроразвивающейся системой в истории телекома. Для владельцев крупных сетей возникает проблема: как соответствовать новым требованиям и осуществлять мониторинг этих новых технологий?
Переход на технологии доступа четвертого поколения связан с существенным увеличением трафика данных в мобильных сетях. Увеличивая мощности сетевой среды, операторы одновременно стремятся уменьшить затраты, полностью переходя на IP-транспорт и пытаясь упростить архитектуру сети и управление ею. При этом многие важные вопросы еще не решены, в частности, вопросы совместимости различных систем 4G и формирование стандартов значительной части LTE. Кроме того переход на IP-транспорт приводит к усложнению контроля качества отдельных сервисов сети и часто к неоправданному росту сложности систем мониторинга.
Сложность добавляется и за счет того, что операторы не могут перейти на 4G за один день, они вынуждены еще достаточно долгое время работать в гибридной среде, совмещая работу существующих платформ с системами нового поколения. Предполагается, что доминирующей технологией будет  LTE, но она требует обеспечения совместимости с существующими 2G/3G-сетями, а также конкурирующими системами.
Одновременная поддержка старых и новых стандартов требует сквозного мониторинга такой сети в реальном времени на уровне пакетов, контроля ее параметров и управления, что на базе существующих систем становится практически невозможным, вследствие необходимости внедрения аналитических устройств повсюду в сети. Все это усложняется с появлением все новых протоколов и услуг, которые также надо контролировать. Переход к 4G-сетям неразрывно связан с переходом к модели Сетевого мониторинга 2.0, в рамках которой в сети создается отдельный слой распределенного захвата трафика.

Что же такое Сетевой мониторинг 2.0 и чем он отличается от Мониторинга 1.0?
Мониторинг сети  - это сложный комплекс аппаратных и/или программных систем, который следит за сетевыми компонентами корпоративной или операторской инфраструктуры. Особенно важен качественный мониторинг трафика для операторов связи и не только для обеспечения качества услуги, но и для предотвращения мошенничества. Источником первичной информации для систем мониторинга являются различного вида сетевые ответвители (taps), позволяющие захватывать  трафик и передавать его в системы анализа без влияния на сетевые процессы. Традиционно системы мониторинга поставляются с собственными подсистемами захвата трафика и это оправданно, когда различные сервисы в сети используют различный транспорт.
Сегодня архитектура сети становится все более «плоской», поскольку инфраструктура строится практически целиком на IP, и в то же время количество сложных гетерогенных устройств в сети также увеличивается, растут и объемы трафика. При традиционном подходе системы мониторинга должны не только заниматься своим прямым делом - анализом траффика, но и неблагодарной задачей поиска этого трафика в гигабитах "сопутствующих" данных. В это время и появляется необходимость в "умных" системах захвата способных разобрать большие объемы захваченого трафика и раздать их частями в соответствующие системы мониторинга. Так появилась концепция Мониторинга 2.0.
В концепции Мониторинга 2.0 сетевые ответвители больше не рассматриваются как отдельные устройства, а являются распределенной сетевой платформой «умных» элементов, действующей как единая система захвата трафика. При этом создается единый выделенный слой захвата и адресной избирательной доставки трафика для всех систем мониторинга. Ключевую роль в этой системе играют именно «умные» ответвители.

К единому слою захвата трафика могут быть подключены любые средства мониторинга, работающие по IP, и не обязательно в в том же месте, где происходит захват. Больше нет необходимости расставлять элементы систем мониторинга по всей сети, в каждой точке контроля. Но это работает только в том случае, если система захвата трафика будет распределенная и отдельные ответвители будут взаимодействовать друг с другом как единая система. Платформа при этом «подгоняется» и масштабируются под каждую конкретную сеть Подобные ответвители не влияют на функционирование инфраструктуры и легко устанавливаются по всей сети.
Такая схема позволяет осуществлять предварительную обработку и очистку перехваченного трафика перед передачей его в инструменты мониторинга и анализа. Целый ряд мониторинговых систем сориентирован на определенные приложения и их интересует только определенный тип IP-трафика с конкретных устройств. Для этого используются такие функции системы, как фильтрация по портам, IP-адресам, интерфейсам, выборочная агрегация, маркирование трафика по портам или времени и другие.

Возможно, одной из наиболее важных характеристик Сетевого мониторинга 2.0 является способность ответвителей передавать трафик друг другу, формируя, таким образом, гибкую систему. Это очень важно, поскольку в сложных конфигурациях такие элементы могут обеспечивать «самолечение», маршрутизация захваченного трафика будет оптимизироваться от порта захвата к порту мониторинга внутри системы в зависимости от нагрузки. Причем доставка захваченного трафика может производится и с использованием инкапсуляции в IP.
Путем создания единого слоя захвата трафика все средства мониторинга могут быть консолидированы в едином месте. При этом будут ликвидированы «слепые пятна», поскольку нет необходимости подключения систем мониторинга непосредственно к сети, а доступ их к трафику осуществляется через слой захвата. Подобная централизация сразу приводит к упрощению сетевой архитектуры и значительному уменьшению количества необходимых устройств.
Распределенный на всю сеть слой захвата трафика практически не применяется в Сетевом мониторинге 1.0. Централизация систем в системе Мониторинг 2.0 позволяет получить беспрецендентный уровень прозрачности сети. При этом архитектура платформы за счет предварительной обработки трафика позволяет  использовать оптимальные по производительности инструменты мониторинга (например, уже установленные системы анализа 1G-трафика для анализа 10 G-трафика). Захваченный и прошедший предварительную обработку трафик может также проходить через границы WAN, обеспечивая при этом централизованное управление.
В сентябре 2011 г. под эгидой Multiservice Forum был проведен VoLRE Interoperability Test в компаниях Vodafone (в Дюссельдорфе) и China Mobile (Пекин). Сценарий тестирования подразумевал последовательное тестирование различного сетевого оборудования и систем мониторинга в различной комбинации. Опыт предыдущих тестов показал, что значительную долю времени занимает физическое переподключение оборудования. Для ускорения данного процесса впервые была применена распределенная система захвата трафика (DTCS) производства VSS Monitoring. Тестирование показало, что применение подобных систем не только позволяет обеспечить эффективный мониторинг уже построенных сетей, но и способствует ускорению процесса интеграции и внедрения новых технологий и коммуникационных систем.
 
Путем централизации инструментов мониторинга и применяя интеллектуальные средства на уровне захвата трафика (балансировка нагрузки, фильтрация, выборочное агрегирование и т.п.) можно добиться значительного повышения эффективности мониторинга. Становится возможным сквозное разрешение сетевых проблем, что приводит существенному уменьшению времени отклика на проблемы и их исправления.
Мониторинг 2.0 означает также возможность легкого масштабирования всей системы по мере изменения параметров сети. Общая стоимость системы значительно ниже, чем в случае использования не систематизированного подхода с внедрением большого количества различных устройств для мониторинга. Меньшие затраты на обслуживание и сокращение времени на разрешение проблем приводит к уменьшению операционных расходов и, в итоге, быстрой окупаемости.

• В качестве примера специализированного устройст, полностью соответствующего концепции Мониторинг 2.0 можно привести Optimizer LTE компании VSS Monitoring. Это устройство разрабатывалось специально для сетей 4G и имеет 2  XFP-порта и 16 портов UTP 10/100/1000 (все порты конфигурируются как TAP/SPAN/Monitor или Stack-порт).Система поддерживает протоколы IP 4G/LTE (такие как SIP, RTP, GTP v1/v2, GRE. Оно обеспечивает все потребности в захвате трафика для операторов, причем не важно откуда нужно взять трафик - с системы доступа, транзита или ядра.

Отметим, что существует ряд сопутствующих тенденций, которые требуют совершенного иного, чем сейчас взгляда на потребности и параметры мониторинга.
Это, в частности, тенденция «выравнивания» сети, когда постепенно все сетевые системы начинают работать на базе IP. При этом количество распределенных IP-устройств и IP-сервисов в сети увеличивается, возникает все больше точек потенциальных аварий, и требуется все больше точек мониторинга. Отметим, что в концепции Мониторинга 2.0 эти точки могут быть использованы различными системами одновременно.
Вторая тенденция, это быстрое технологическое развитие, которое требует создание гибкой и «умной» структуры мониторинга. Уже сейчас требуется мониторинг трафика на уровне пользователей и на уровне контроля, которые поведенчески существенно различаются. В ближайшем будущем ожидается переход к сетям в 40 GigE, а затем и 100 GigE. Концепция же Мониторинга 2.0 позволяет использовать в системе инструменты, которые работают на более низких скоростях, что это значительно оптимизирует процесс «перевооружения» систем мониторинга.
Приложение 1.
Преимущества Сетевого мониторинга 2.0

• Единый слой захвата трафика
  • Единая точка мониторинга
  • Централизованное управление
  • Полная визуализация
• Встроенная маршрутизация захваченного трафика
  • «Самоанализ» и автоопределение пути доставки трафика к системам мониторинга
  • Защита от аварий
• Оптимизация/модификация пакетов
  • Аппаратная деинкапсуляция трафика в точках захвата
  • Маркировка трафика (время, порт)
  • Превращение «сырых» данных в готовую для анализа информацию
• Низкая стоимость владения
  • Затраты по мере роста
  • Уменьшение нагрузки на управление
  • Продленная жизнь систем

Ключевым фактором уверенности в получении полноценной информации о всех процессах в сети является понимание того, как анализируемый трафик попадает в средства мониторинга.  Мы полагаем, что сегодня только интегрированная система, такая как VSS Monitoring Distributed Traffic Capture System, имеет достаточные возможности для получения информации о сетевых процессах во всех точках сети.
Ниже перечислены вопросы, которые  позволяют характеризовать возможности масштабной системы захвата трафика сети.
Попробуйте протестировать своего вендора. Задайте ему эти вопросы. Убедитесь, действительно ли он позволяет вам обеспечить централизованный мониторинг всех процессов сети.
 
ВОПРОСЫ

1. Отказоустойчивы ли ваши ответвители трафика для гигабитных медных сетей?
2. Могут ли пользователи соединять ваши ответвители по любой топологии? Могут они соединяться через WAN? Является ли система захвата отказоустойчивой?
3. Ваши ответвители обладают функционалом посессионной балансировки нагрузки контролируемого трафика? Эта балансировка автоматическая? Что произойдет, если контакт будет потерян?
4. Сколько 10 Гб-ответвителей вы предлагаете? Каков диапазон возможного количества портов?
5. Есть ли графический интерфейс пользователя, позволяющий отображать все операции на ответвителе?
6. Поддерживает ли ваша система захвата трафика захват данных на входных портах и на SPAN-портах?
7. Обладают ли ваши ответвители возможностями маркировка трафика (время, порт) на входе в сеть до того, как они произведут очистку трафика?
8. Есть ли у вас техническая поддержка в моем регионе?
9. Чем качественно отличается ваша технология захвата трафика, какие возможности она предоставляет?
10. Могут ли ваши системы захвата трафика взаимодействовать друг с другом как единая интегрированная система?

 
ОТВЕТЫ VSS MONITORING
1. Отказоустойчивы ли ваши ответвители трафика для гигабитных медных сетей?
Протокол Gigabit Ethernet для таких сетей определяет, что трафик может проходить одновременно в обе стороны, поэтому линейные ответвители не могут быть полностью пассивными. Технология VSS Monitoring  vAssure позволяет уменьшить задержку из-за аварий практически до нуля, позволяя чувствительным к временным параметрам приложениям работать без прерывания. Ответвители без использования этой технологии мгновенно теряют связь, если, например, теряется питание. При использовании vAssure задержка не превышает 30-60 мс. А что сможет противопоставить этому  другой производитель?

2. Могут ли пользователи соединять ваши ответвители по любой топологии? Могут они соединяться через WAN? Является ли система захвата отказоустойчивой?
Соединенные или объединенные в стек ответвители не должны терять пакеты или образовывать единую точку сбоя. Единственными возможностями предотвращения этого  - это:

1. Отказоустойчивость за счет использования топологии полной взаимозаменяемости: при потере связи система ответвителей должна уметь перенаправить копируемый трафик по другому маршруту, включая возможность использования сразу нескольких линий и выбор самых быстрых путей. Все производители, кроме VSS Monitoring,  не предлагают такой функционал и ограничиваются предложением возможности использования последовательной связи или связи типа hub-and-spoke.
2. Посессионная балансировка нагрузки: это балансировка нагрузки множество портов, использующая посессионные критерии, которые соответствуют вашей сетевой среде, при том это не один или два критерия, такие как IP-источник или IP-приемник. VSS Monitoring учитывает 9 критериев, учитывающие даже передачу трафика в средства мониторинга. Сколько параметров учитывает ваш производитель, если он вообще осуществляет балансировку нагрузки?
3. Множество гибких портов: каждый порт может быть портом стека для увеличения полосы пропускания и отказоустойчивости.

 
VSS Monitoring обеспечивает возможность виртуальной связи с помощью технологии vStack+. Эта технология обладает возможностью самопроверки, определяющей разрывы связи и находящей возможности обхода этих разрывов. Эта возможность есть только у системы VSS Monitoring.
Кроме того:

• Связь через весь мир: связь между устройствами должна работать по всему миру через WAN, а не ограничиваться местной сетью.
• Полная доступность: любой распределенный или интеллектуальный ответвитель в линейке производителя должен работать в стеке, а не только одна или две модели.

 
3. Ваши ответвители обладают функционалом посессионной балансировки нагрузки контролируемого трафика? Эта балансировка автоматическая? Что произойдет, если контакт будет потерян?
Балансировка нагрузки VSS - это автоматизированное распределение трафика через мониторинговые порты таким образом, что сетевая сессия не прерывается и цельность пакетов сохраняется.  Некоторые из вендоров используют термин "балансировка нагрузки" для операций, которые в сущности являются фильтрацией трафика.  Вы должны понимать разницу:

• Фильтрация  - это ручное распределение трафика, конфигурируемое администратором. Она не может автоматически адаптироваться к изменяемым условиям, таким как потеря связи или резкий рост трафика.
• Комплексную фильтрацию сложно внедрить. Некорректно сконфигурированный фильтр может вызвать потери пакетов.
• Фильтрация не позволяет  вам выбрать среди различных критериев сессии.

Балансировка нагрузки должна быть отказоустойчива. Если связь теряется, пакеты должны быть перенаправлены без их потери и, если устройства захвата трафика сконфигурированы как стек, без нарушения стека.
 
4. Сколько 10 Гб/с-ответвителей вы предлагаете? Каков диапазон возможного количества портов?
VSS Monitoring сейчас предлагает 23 ответвителей класса 10 Gb, что более, чем  в 5 раз больше, чем любой другой вендор. А вся линейка ответвителей более, чем в два раза превышает размер линейки устройств крупнейшего конкурентного производителя. Здесь можно найти все - от простого устройства класса 10/100 Мб с четырьмя портами до интеллектуальных распределенных ответвителей класса 10 Гб с 30 портами. С этими продуктами можно ознакомиться на http://www.vssmonitoring.com/product+finder.asp.
 
5. Есть ли графический интерфейс пользователя (GUI), позволяющий отображать все операции на ответвителе?
Некоторые производители предупреждают пользователей, что графический пользовательский интерфейс их устройств не следует использовать для сложных действий, таких как фильтрация или соединения портов. Часто даже такие необходимые  конфигурационные установки, как стековые соединения, не доступны в их GUI.
Заставляя пользователей использовать командную строку для сложных операций, производитель значительно усложняет их работу.
 
6. Поддерживает ли ваша система захвата трафика захват данных на входных портах и на SPAN-портах?
VSS Monitoring позволяет осуществлять захват трафика и там и там. Некоторые же производители предлагаю захват трафика только на SPAN-портах, советуя для работы на входных портах использовать системы других вендоров.
Но, прежде чем согласиться на использование только SPAN-портов для захвата трафика, убедитесь, что знаете ограничения этого подхода:

• В зависимости от модели коммутатора и конфигурации SPAN-порты могут терять пакеты, когда коммутатор загружен.
• SPAN-порты потенциально могут снижать производительность коммутатора и терять пакеты при этом.
• SPAN-порты могут скрывать ошибки CRC (cyclic redundancy check), которые полезны для идентификации ошибок пакетов.
• SPAN-порты могут пытаться исправить "плохие" пакеты или добавить пакеты из других линий, не тех, которые контролируются.
• SPAN-порты не могут идентифицировать джиттер, одну из трех основных причин задержки. Только линейные системы захвата трафика в реальном времени могут помочь идентифицировать пакеты при джиттере.

7. Обладают ли ваши ответвители возможностями маркировка трафика (время, порт) на входе в сеть до того, как они произведут очистку трафика?
Технологии VSS Time Stamping и VSS Port Stamping позволяют приложениям систем мониторинга, чувствительным к задержкам, полностью использовать операции очистки такие, как агрегирование, фильтрация и балансировка нагрузки без опасения внести дополнительную задержку в процесс. Это позволяет максимально использовать возможности систем анализа трафика и уменьшить их количество.
Ни один другой вендор  не имеет устройств, позволяющих осуществлять маркировку по времени на входе.
 
8. Есть ли у вас техническая поддержка в моем регионе?
VSS Monitoring оказывает локальную техническую поддержку в Азии через свои офисы в Пекине, Сингапуре и Токио, в Европе в Лондоне, в США, а также через более, чем 50 своих партнеров по всему миру. Сайт компании и основные продуктовые документы доступны на китайском, английском, французском, японском, корейском, польском, русском и испанском языках.
 
9. Чем качественно отличается ваша технология захвата трафика, какие возможности она предоставляет?
VSS Monitoring является разработчиком многих новейших технологий в сфере распределенного захвата трафика. Только устройства VSS обладают:

• Самой быстрой функцией переключения связей в медных Гб-сетях и единственной технологией, которая не вызывает разрывов связи - vAssure.
• Отказоустойчивой системой связи через виртуальную сеть для захвата трафика - vStack+.
• Функционалом маркировки (время, порт) на входных сетевых портах - VSS Packet Optimization.

 
10.Могут ли ваши системы захвата трафика взаимодействовать друг с другом как единая интегрированная система?
Только VSS Monitoring имеет систему распределенного захвата трафика для создания полноценного и гибкого интегрированного решения.  В этом случае сетевые ответвители уже не рассматриваются как отдельные устройства, а образуют распределенную сетевую платформу «умных» элементов, действующую как единая система захвата трафика. При этом создается единый выделенный слой захвата и адресной избирательной доставки трафика для всех систем мониторинга. К единому слою захвата трафика могут быть подключены любые средства мониторинга, работающие по IP, и не обязательно в том же месте, где происходит захват. Больше нет необходимости расставлять элементы систем мониторинга по всей сети, в каждой точке контроля. Но это работает только в том случае, если система захвата трафика будет распределенной и отдельные ответвители будут взаимодействовать друг с другом, образуя единую систему. Платформа при этом подгоняется и масштабируется под каждую конкретную сеть. Подобные ответвители не влияют на функционирование инфраструктуры и легко устанавливаются по всей сети.
 
ВРЕМЯ ОТДЕЛЬНЫХ ОТВЕТВИТЕЛЕЙ ЗАКОНЧИЛОСЬ!
 

Как правило, TAP (Test Access Port) не играют никакой роли в анализе и отчетности о сетевом трафике. Эти устройства созданы, чтобы транслировать данные в системы класса IDS или сниферы пакетов. Компания NetOptics намерена изменить эту ситуацию, выведя на рынок свой новый AppTap. AppTap обладает характеристиками, которые мы ожидаем от традиционных TAP: его устанавливают inline, он копирует фреймы Ethernet в порты мониторинга и при отключении просто превращается коннектор Cat-5, не мешая потокам трафика.

Но AppTap делает не только это. Этот TAP действительно анализирует сетевой трафик, предоставляя возможность получения отчетности о полосе пропускания и сетевой производительности прямо через свой веб-интерфейс. Далее...
 

Существуют две причины использовать NetFlow для оптимизации WAN. Наиболее простым и общим случаем является возможность использования инструментов на базе NetFlow для оценки возможностей по ускорению/оптимизации производителя, которого вы выбираете.

Мне кажется важным предложить вам исследовать ваши потребности, прежде чем вы примите решение. NetFlow может быть великолепной возможностью для определения ваших действительных потребностей. Понимание типов трафика, который проходит через вашу WAN, позволит вам принять более обоснованное решение.

Какой процент трафика, проходящего внутри вашей WAN, имеет отношение к вашему бизнесу?

Если вы обнаружите, что более, чем 50% вашего трафика составляет нежелательный веб-трафик, то простое использование DSCP и очередей на базе классов позволит вам решить проблемы производительности для бизнес-приложений.
Далее...
 

Согласно отчету аналитической компании Forrester , 48% атак на корпоративные данные в 2009 году были осуществлены внутренними инсайдерами, что на 26% превышает показатели 2008 года. Быстро развивающаяся IT-консумеризация, мобильный интернет разрушают информационную защиту предприятий и аналитики сегодня все больше думают о том, как контролировать и защищать внутреннюю сеть, а не только периметр.

Этот отчет Forrester, носящий название "Вытащите свою голову из песка и обернитесь: рассмотрим возможности анализа и обеспечения прозрачности сети", посвящен дискуссии о механизмах мониторинга сети и пользе, которую он приносит. Forrester рассматривает технологии класса NAV (Network Analysis and Visibility), такие как те, которые используются в Lancope StealthWatch.

Далее...
 

Все больше производителей начинает поддерживать NetFlow в своих продуктах. В частности, SonicWall недавно добавила поддержку NetFlow v5/v9/IPFIX в свою операционную систему SonicOS Enhanced v5.8.

Специалисты Lancope проверили новую систему и убедились - она работает. Теперь вы легко можете конфигурировать файервол SonicWall, который работает под управлением SonicOS v5.8, для передачи потоков в систему анализа данных StealthWatch . Теперь немного о деталях...

Рассмотрим настройку SonicWall и его механизм экспорта потоков в действии.
 Далее...

Компания Lancopeобъявила о выпуске StealthWatch 6.0 - системы мониторинга сетевых процессов, безопасности и производительности приложений нового поколения. Основанная на технологии анализа NetFlow и других поточных данных для обеспечения полной прозрачности сети и работающих в ней приложений, новая система компании Lancope позволяет очень существенно уменьшить время от обнаружения проблемы до ее ликвидации.

Несколько крупных клиентов компании Lancope, включая Cisco Systems, Grafisch Lyceum Rotterdam (GLR) и Concord Hospital, уже успешно провели бета-тестирование новой StealthWatch 6.0.

"NetFlow - это исключительно полезный и до сих пор недостаточно используемый инструмент контроля сети и разрешения различных сетевых проблем, - говорит Стив Макоуэн (Steve Mcowen), директор подразделения информационной безопасности Cisco Systems. - Lancope использует всю мощь NetFlow, не затрачивая при этом ресурсов ИТ-специалистов. Глубокий анализ данных потока, приложений и очень удобный в использовании графический интерфейс делает StealthWatch 6.0 исключительно универсальным средством для мониторинга и анализа очень широкого круга сетевых инцидентов".

Ключевые возможности StealthWatch - это:

• Мониторинг производительности приложений с помощью поведенческого анализа и глубокой инспекции пакетов (deep packet inspection), гарантирующий непрерывность и надежность работы приложений.
• Реляционный маппинг потока, обеспечивающий просмотр сетевого трафика для определенных сегментов сети в реальном времени и в графическом виде.
• Группировка родственных хостов для анализа трафика между ними, быстрого определения аномалий и оценки производительности.
• Расширенные возможности отчетности, позволяющие пользователям получать точную и детальную информацию и упрощающие создание высокоуровневых отчетов для менеджмента.
•  

StealthWatch полностью удовлетворяет требованиям, характерным для больших сетей и предприятий, анализируя более 1,5 млн. потоков в секунду. Объединяя функционал сетевого контроля и возможности мониторинга безопасности в единой, унифицированной платформе, использующей возможности существующей инфраструктуры, новая система ликвидирует "слепые пятна" в сети и уменьшает время и затраты, связанные с разрешением всевозможных сетевых проблем. Мощные возможности анализа данных и их поведения в сети позволяют использовать StealthWatch и для других целей, например, планирования ресурсов, анализа совместимости оборудования, планирования емкости, а также для HelpDesk и управления изменениями (Change Management).
Эксклюзивным поставщиком оборудования Lancope в России является компания Web Control.

Для получения более подробной информации о StealthWatch 6.0 вы можете ознакомиться с http://www.lancope.com/files/Lancope_StealthWatch_What's_New_in_6.0.pdf или зарегистрироваться для участия в вебинаре "Application Performance Monitoring with NetFlow" по адресу http://www.lancope.com/news-events/webinars/.