Packet Capture mit PRTG

Datenpakete ermöglichen die Kommunikation von Netzdaten über das Internet. Sie werden über alle gängigen Protokolle verschickt. TCP-Pakete sind beim Austausch von Daten äußerst zuverlässig, da sie auf Fehler geprüft und gegebenenfalls beseitigt werden. Bei UDP-Paketen steht der schnelle Austausch von Daten im Vordergrund. PRTG überwacht neben IP-, TCP- und UDP-Paketen auch andere Protokolle.

Die Erfassung von Netzwerkpaketen bedeutet die Erstellung von Kopien der Datenpakete, die durch Ihr Netzwerk fließen, damit Sie diese überprüfen und analysieren können. Dies ist nützlich, um Leistungsprobleme zu erkennen, potenzielle Schwachstellen zu identifizieren und zu verstehen, was zu Netzwerkunterbrechungen, Sicherheitsverletzungen oder anderen Vorfällen geführt haben könnte.

• Verkehrsanalyse und Monitoring: Die Paketerfassung ermöglicht eine detaillierte Analyse des Netzwerkverkehrs. Durch die Untersuchung von Paketen können Cybersicherheitsexperten anormale Muster erkennen, die auf böswillige Aktivitäten wie verteilte Denial-of-Service-Angriffe (DDoS) oder Datenexfiltration hindeuten können.
• Erkennung von Malware: Die Erfassung von Datenpaketen ermöglicht die Untersuchung der Nutzdaten in den Paketen, was zur Erkennung von Schadsoftware beitragen kann. Durch die Analyse von Paketinhalten können spezialisierte Tools das Vorhandensein von Malware erkennen, die mit Command-and-Control-Servern kommuniziert oder versucht, sich über das Netzwerk zu verbreiten.
• Monitoring von Netzwerkleistung und -zustand: Die Erfassung von Datenpaketen kann auch Probleme mit der Netzwerkleistung aufdecken, die zwar nicht direkt mit der Sicherheit zusammenhängen, aber dennoch Auswirkungen auf den allgemeinen Zustand und die Sicherheit des Netzwerks haben können. Langsame oder unzuverlässige Netzwerke können dazu führen, dass Schwachstellen nicht gepatcht werden oder das Netzwerk für bestimmte Arten von Angriffen anfällig ist.
• Erkennung von Netzwerkanomalien: Anhand von Datenpaketerfassungsdaten lassen sich Grundlinien des normalen Netzwerkverhaltens erstellen. Abweichungen von diesen Grundlinien können auf potenzielle Sicherheitsprobleme hinweisen, die weitere Untersuchungen erfordern.
• Schwachstellen-Management: Mit Hilfe von Packet Capture können ungepatchte Systeme und anfällige Anwendungen, die über das Netzwerk kommunizieren, aufgedeckt werden, so dass die Sicherheitsteams diese Schwachstellen priorisieren und beheben können.

Weil PRTG die Analyse des Netzwerkverkehrs und das Aufspüren (und Beheben) von Problemen viel einfacher macht. Während Wireshark-Daten live und ungefiltert sind, können Sie mit PRTG nach Variablen filtern. Sie können Ihr Netzwerk nach potenziellen Problemen durchsuchen und dann detaillierter vorgehen, wenn Ihnen etwas auffällt, das nicht in Ordnung ist. Das bedeutet, dass Sie einem Problem viel schneller auf den Grund gehen können.

Die gängigste Methode ist, PRTG an die Monitoring-Ports Ihres Routers anzuschließen. Alternativ dazu können Sie den Datenverkehr von Ihrem Router an PRTG senden und Sensoren verwenden, um die Datenpakete zu erfassen. Sie können auch Datenpakete aufzeichnen:

• Auf einzelnen Switches
• Auf einzelnen Servern, wie z.B. E-Mail- und Webservern
• Mit VMware. Verwenden Sie Port Mirroring auf Routern oder Access Points, um zu sehen, wie viele Daten Ihr ESXi-Server sendet und empfängt.

Der grundlegende Unterschied zwischen sFlow, NetFlow, IPFIX und jFlow besteht darin, dass sie unterschiedliche Methoden zur Datenerfassung verwenden:

• NetFlow, das von Cisco entwickelt wurde, sammelt Metadaten zum Verkehrsfluss, wie z. B. Quell- und Ziel-IP-Adressen, Ports und die Anzahl der Pakete
• sFlow erfasst Paket-Header und Teil-Payloads, so dass die CPU-Last, die Bandbreite und der Speicherbedarf auf ein Minimum reduziert werden - ideal, wenn Sie ein sehr großes Netzwerk oder begrenzte Ressourcen haben
• IPFIX ist ein offener Standard, der auf NetFlow basiert. Er ist vorlagenbasiert (kann aber auch für die Arbeit mit Stichproben konfiguriert werden), was Ihnen mehr Flexibilität bei der Aufzeichnung und dem Export von Daten bietet
• jFlow funktioniert auf ähnliche Weise wie NetFlow, ist aber Eigentum von Juniper Networks

Wenn Sie den Datenverkehr in Ihrem Netzwerk ohne Deep Packet Inspection überwachen wollen, könnte SNMP die Technologie Ihrer Wahl sein.

In PRTG sind „Sensoren“ die grundlegenden Monitoring-Elemente. Ein Sensor überwacht in der Regel einen Messwert in Ihrem Netzwerk, z.B. den Traffic eines Switchports, die CPU-Last eines Servers oder den freien Speicherplatz auf einer Festplatte. Im Durchschnitt benötigen Sie etwa 5-10 Sensoren pro Gerät oder einen Sensor pro Switch-Port.