Fl0wer

Cosa è Fl0wer

Fl0wer è una piattaforma software di Network Intelligence molto potente e flessibile, nata per risolvere problemi di visibilità e sicurezza dell’ infrastruttura di rete. Può essere utilizzata per controllare la conformità dell’uso delle reti aziendali (accountability) ed anche come “scatola nera” per tracciare tutti i metadati di traffico per risolvere problematiche che altrimenti potrebbero risultare invisibili. Opera in ambiente Linux ed è realizzato con una architettura client-server, e sfrutta i protocolli di rete Netflow, IPFix ed sFlow come strumenti di controllo della stessa. E’ in grado di analizzare sia flussi di traffico IPv4 che IPv6, ed è la sintesi digitale di oltre venti anni di esperienza di amministrazione di rete.

Cosa può fare

La piattaforma Fl0wer consente di:

• Realizzare una infrastruttura di controllo di rete distribuito basata su Netflow, IPFIX ed sFlow in ore, non giorni.
• Fornire una panoramica a volo d’uccello riguardo il traffico presente nella vostra infrastruttura di rete, con dati arricchiti di ulteriori informazioni, tramite geolocalizzazione ed analisi probabilistica, mantenendo la privacy degli utenti.
• Semplice e rapida integrazione con gli strumenti di analytics standard di mercato (Elasticsearch, Splunk) o con database di tipo OLAP per la creazione di un data-lake di security realmente fruibile.
• Creare una matrice di traffico di tutti i flussi di rete che attraversano la vostra infrastruttura di rete e riscontrare se le politiche di filtraggio dei pacchetti sono adeguate.
• Georeferenziare il traffico.
• Ottimizzare le regole di firewalling fornendo visibilità sul traffico di rete effettivo.
• Realizzare un indice di rischio del traffico nella vostra infrastruttura di rete.
• Reagire in tempo reale sui riscontri di traffico anomali usando il motore LUA integrato per eseguire degli script personalizzati.
• Riscontrare l’efficienza delle policy di utilizzo dei servizi standard di tipo VPN, Tunneling, monitoraggi SNMP, DNS, NTP, BGP e Software Defined Networks.
• Rilevare in near-real-time scansioni di rete di tipo orizzontale e verticale all’interno dell’infrastruttura di rete.
• Rilevare automaticamente la presenza di traffico verso la rete TOR o di tipo peer-to-peer (P2P).
• Creare degli snapshot sul traffico di rete per analisi interne o da terze parti.
• Facilitare le migrazioni verso il cloud mettendo a disposizione la matrice del traffico IP effettivamente utilizzato.
• Automatizzare i controlli del traffico da/verso l’interno e l’esterno per IP di tipo non assegnato (bogon) e indirizzi IP con bad reputation.
• Può produrre dei report (sia testuali che PDF) in grado di evidenziare:
  • connessioni alla rete TOR;
  • traffico di tipo P2P;
  • possibili Covert Channels;
  • scansioni verticali verso un sistema (come ad esempio un obiettivo da compromettere);
  • scansioni orizzontali su di un servizio specifico (come ad esempio un worm, un malware o un ransomware);
  • violazioni della policy per i servizi core interni come NTP, DNS, BGP, SNMP, VPN, SDN, etc.;
  • connessioni verso reti bogon o IP in blacklist su Internet;
  • traffico fuori dalla matrice dei flussi noti;
  • traffico di rete legato a cryptovalute;
  • traffico di rete relativo ai social network all’interno del datacenter;
  • traffico probabilmente indesiderato.

Come lo fa?

La piattaforma Fl0wer è in grado di ricevere, interpretare, analizzare e memorizzare i metadati di traffico tramite i protocolli Netflow,IPFIX ed sFl0w provenienti sia dagli apparati di rete (router, firewall, switch, load-balancer, etc.) che da piattaforme di virtualizzazione (VMWare DVSW, Proxmox, etc.) che da agent sui server (softflow, ipt_netflow,etc.). Il core della piattaforma è scritto in linguaggio C e sfrutta il multithreading; incorpora un interprete LUA e può eseguire script che possono verificare determinate condizioni e svolgere azioni complesse, e dispone anche delle possibilità di marcare i metadati di traffico in base a delle “traffic rules” definibili dall’utente.

Dispone di API REST completamente documentate per l’interazione con i linguaggi più diffusi (Python e PHP) e realizza una matrice dei flussi di traffico in near-real-time che consente di capire rapidamente cosa realmente transita sulla rete. Sia il client GUI (per Linux e Windows) che gli strumenti a command-line (CLI) sfruttano la API REST, implementando anche la possibilità di effettuare degli “snapshot” della situazione del traffico in un dato momento, consentendo analisi in tempi diversi. Ovviamente tali strumenti sono completamente open-source e modificabili e/o personalizzabili dall’utente.

La piattaforma è configurabile per effettuare il caricamento continuo dei dati in strumenti di analisi general-purpose come Splunk, Elastisearch, Syslog e database OLAP come Clickhouse, e lo strumento di caricamento dei dati, scritto in Python, è ovviamente open-source.

Un ulteriore modulo consente la realizzazione di report in formato PDF in base ai dati caricati nel DB OLAP Clickhouse.