29 marca 2018 · 7 min czytania

Basic, Extended i Full w WanGuard różnią się nie tylko widocznością, ale i obciążeniem CPU o 20-30%. Jak wybrać poziom statystyk i co to znaczy dla raportowania.

Krótka odpowiedź: WanGuard ma trzy poziomy zbierania statystyk — Basic, Extended i Full. Basic jest wartością zalecaną i kosztuje bardzo niewiele mocy obliczeniowej. Extended dokłada statystyki adresów zewnętrznych i ponad 20% narzutu, Full dokłada jeszcze statystyki i wykresy systemów autonomicznych oraz ponad 30% narzutu — w obu przypadkach szczególnie przy atakach ze sfałszowanym adresem źródłowym. Decyzję trzeba podjąć przed zakupem serwera, a nie po pierwszym incydencie.

Trzy silniki, trzy poziomy widoczności

WanGuard zbiera dane w jednym z trzech trybów. Każdy kolejny dokłada narzut wydajnościowy, który trzeba uwzględnić przed wdrożeniem.

Mechanizm jest prosty: im więcej wymiarów liczysz, tym więcej struktur trzeba utrzymywać w pamięci i aktualizować przy każdym pakiecie. Poniżej opis z dokumentacji WanGuard wraz z podanym tam narzutem:

Basic – włącza zestawienia (tops) dla adresów wewnętrznych, protokołów IP, wersji IP oraz portów TCP/UDP. To wartość zalecana, ponieważ dokłada bardzo niewielki narzut wydajnościowy.

Extended – włącza wszystkie zestawienia z poziomu Basic oraz dodatkowo zestawienia dla adresów zewnętrznych (adresów spoza strefy IP). Dokłada ponad 20% narzutu, szczególnie podczas ataków ze sfałszowanym adresem źródłowym. Umożliwia wykrywanie przekroczeń progów dla adresów zewnętrznych.

Full – włącza wszystkie zestawienia z poziomu Extended oraz dodatkowo zestawienia i wykresy dla systemów autonomicznych. Dokłada ponad 30% narzutu, szczególnie podczas ataków ze sfałszowanym adresem źródłowym. Umożliwia wykrywanie przekroczeń progów dla adresów zewnętrznych.

Warto zwrócić uwagę na sformułowanie „szczególnie podczas ataków ze sfałszowanym adresem źródłowym". To nie jest przypis drobnym drukiem — to opis najgorszego przypadku.

Dlaczego spoofing jest tu kluczowy

Zestawienia adresów zewnętrznych działają na zasadzie zliczania: system utrzymuje strukturę „adres → wolumen" i aktualizuje ją dla każdego widzianego źródła.

Przy normalnym ruchu liczba unikalnych adresów zewnętrznych jest duża, ale w miarę stabilna. Przy ataku ze sfałszowanym adresem źródłowym każdy pakiet może mieć inne źródło. Struktura zestawienia puchnie w tempie liczby pakietów na sekundę i zaczyna konkurować o procesor z wykryciem anomalii oraz uruchomieniem reakcji.

Efekt jest przewrotny: funkcja, która ma dać ci więcej widoczności podczas ataku, najmocniej obciąża system właśnie podczas ataku. Dlatego wybierając Extended albo Full, trzeba mieć zapas mocy policzony dla scenariusza ataku, nie dla ruchu w dzień powszedni.

Co jest darmowe

Nie wszystko w statystykach kosztuje. Według wsparcia Andrisoft:

  • wykresy IP i wykresy anomalii nie powodują narzutu wydajnościowego,
  • pozostawienie parametru Stats na wartości Basic oznacza brak narzutu,
  • IP Validation również nie dokłada istotnego obciążenia i nie jest to funkcja, której należałoby unikać.

To ważne rozróżnienie, bo w praktyce często słyszymy „wyłączyliśmy wszystkie statystyki, żeby odciążyć serwer". Zwykle jest to cięcie w niewłaściwym miejscu — realny koszt siedzi w zestawieniach adresów zewnętrznych i systemów autonomicznych, a nie w wykresach anomalii, które są potrzebne do analizy incydentu.

Osobno warto sprawdzić koszt samego grafowania per IP — to inny mechanizm, opisany w tekście o optymalizacji wykresów w WanGuard.

Kiedy naprawdę potrzebujesz Extended albo Full

Odpowiedz sobie na pytanie: czy zestawienia top AS są ci potrzebne razem z ochroną przed DDoS? Bo to może być dodatkowa funkcja dająca większy wgląd we własną sieć przy użyciu jednego narzędzia — zamiast utrzymywania osobnego systemu analizy ruchu.

Argumenty za wyższym poziomem:

  • Planowanie kosztów tranzytu i peeringu. Statystyki AS pokazują, z kim faktycznie wymieniasz ruch. To materiał do decyzji o nowym peeringu albo o renegocjacji łącza.
  • Wykrywanie przekroczeń progów dla adresów zewnętrznych. Przydatne przy ruchu wychodzącym — na przykład przy zainfekowanych hostach we własnej sieci.
  • Analiza powłamaniowa i raport dla klienta. Im więcej wymiarów zapisanych, tym konkretniejszy opis incydentu.

Argument przeciw jest jeden, ale mocny: narzut występuje wtedy, kiedy najmniej możesz sobie na niego pozwolić. Jeśli serwer jest dobrany „na styk", zostań przy Basic.

Przed zakupem serwera pod WanGuard lepiej mieć zapas na włączenie takich statystyk później, niż odkryć po roku, że nie ma gdzie ich uruchomić.

Statystyki to dziś także materiał dowodowy

W 2018 roku wybór poziomu statystyk był głównie kwestią wygody. Dziś doszedł drugi wymiar — obowiązek zgłaszania incydentów.

Dyrektywa NIS2 i krajowe przepisy o cyberbezpieczeństwie narzucają terminy: 24 godziny na wczesne ostrzeżenie i 72 godziny na właściwe zgłoszenie incydentu. Żeby zgłosić incydent w tym reżimie, trzeba go opisać: jaki wektor, jaki wolumen, które adresy, w jakich godzinach, jak długo trwał.

To wszystko pochodzi z tego samego miejsca — z retencji danych i raportowania sensora. System zbierający wyłącznie minimum zarejestruje, że coś się działo. System z pełniejszymi statystykami pozwoli napisać zgłoszenie, które faktycznie zamyka sprawę.

Nie jest to argument za automatycznym włączeniem Full. Jest to argument za tym, żeby decyzję o poziomie statystyk podejmować świadomie, z uwzględnieniem tego, co będziesz musiał udokumentować — a nie zostawiać ją domyślnej wartości instalatora. O samych terminach i adresach zgłoszeń piszemy w osobnej instrukcji: gdzie zgłosić atak DDoS.

Architekturę systemu i podział na moduły opisaliśmy na stronie o WanGuard. W doborze poziomu statystyk pod konkretną sieć pomagamy w ramach wsparcia technicznego.

Najczęstsze pytania

Który poziom statystyk wybrać na start?

Basic. To wartość zalecana przez producenta, dodaje bardzo mały narzut i pokrywa większość potrzeb operacyjnych: zestawienia adresów wewnętrznych, protokołów i portów. Poziom można podnieść później, gdy będziesz miał zmierzone realne obciążenie serwera.

Czy zmiana poziomu statystyk wymaga restartu sensora?

Zmiana parametru Stats w konfiguracji sensora jest przeładowywana wraz z konfiguracją. Sam parametr można zmienić w dowolnym momencie — ale nie rób tego w trakcie ataku, bo właśnie wtedy różnica w obciążeniu jest największa.

Dlaczego narzut rośnie akurat przy atakach ze spoofingiem?

Bo zestawienia adresów zewnętrznych zliczają ruch per źródłowy adres IP. Przy spoofingu liczba unikalnych adresów źródłowych rośnie lawinowo, więc struktura zliczająca rośnie razem z nią i pochłania coraz więcej procesora — dokładnie w chwili, gdy jest on potrzebny do reakcji.

Czy wyłączenie statystyk poprawi wykrywanie ataków?

Zejście z Full na Basic zwolni moc obliczeniową, co może pomóc na serwerze pracującym na granicy wydajności. Nie zmieni natomiast samej logiki wykrywania — progi i anomalie działają niezależnie od poziomu zestawień. Wyjątkiem są progi dla adresów zewnętrznych, które wymagają poziomu Extended lub wyższego.

Czy statystyki wystarczą do zgłoszenia incydentu do CSIRT?

Są punktem wyjścia, nie całością. Zgłoszenie wymaga opisu incydentu, jego skutków i podjętych działań — dane z sensora dostarczają części faktograficznej: wektora, wolumenu, czasu trwania i zakresu adresacji. Bez nich zgłoszenie sprowadza się do stwierdzenia, że wystąpił jakiś atak.