[Part 1][CHAPTER 2] Understanding Sensor Placement in Networks

The Basic of Network Layering

又重复了一遍网络分层模型,不再赘述,即OSI 7层模型以及TCP/IP 4层模型,其中有一段有趣的讨论,记录如下。
为什么network sensor不能监控一切呢?这也就是问为什么我们光凭借network traffic不能够理解当前系统发生的一切呢。这要从OSI参考模型说起,比如4层传输层及以下,网络层数据链路层以及物理层,这些数据的传输我们都是能看到的,而从5层以后开始加密,如SSL之类的协议,也就是说我们似乎开始无法理解网络的行为了,因为他们变的不可读(事实上已经有很多研究关于如何分类和识别或者分类加密流量),因此根据数据包来重建网路行为是一个非常困难的过程。而此时在其他位置的sensors可以起到极大的帮助。例如log,他的作用是记录下行为,以及其他属性的sensors。这些行为及其他信息就可以帮助理解事件。
另外突然让我想起了抓包的过程。以tcpdump为例,显然其工作的位置在于主机本身,其首先注册一个虚拟的底层协议,这个协议位置位于数据链路层,当一个数据包被网卡捕获,他会依次询问每个已经注册的协议如Ethernet以及802.11是否具有处理当前数据包的能力,有则复制走处理,没有跳过,去问下一个,而tcpdump注册的协议显然是来着不拒的(在某些参数下)同理如果把网卡打开混杂模式,即可从数据链路层监控所有的traffci,好像后文也说这些了,那么后面再说
补个图吧
在这里插入图片描述

Network Layers and Vantage

首先看二层Switch的两种情况,一种是所需监视的所有对象都处于一个冲突域下,Figure2-2,显然A-B-C-D都在一条总线上,这样我们把D的网卡打开到混杂模式即可监视所有流量,在这里插入图片描述第二种情况由于冲突域的划分,导致Swtich控制了所有的转发过程,专线之外的网卡完全接收不到其他总线上的数据,此时需要利用Swtich的镜像端口来复制所有流量,其实第一种情况也可以这么用,而现在没得选。
在这里插入图片描述
接下来看第三种情况的sensors部署,当上升到OSI第三层的情况下,及Routers作为中间的连接件,A-B的traffic只能经过上层Router,由C可以监控到,而由B-A的traffic只能经过下层Router,只能由D监控,这是一个简单的特殊例子,通常情况下其实他们应该在同一总线上,然而如果有多台设备,情况会更加复杂吧

在这里插入图片描述

Validity Challenges from Middlebox Network Data

在某个子网中,一些网络配置行为可能会极大的影响traffic的走向,以至于会造成以上三种状态的部署失效的可能。例如VPN之类。下面总结了一个行为与受影响的属性表格
在这里插入图片描述

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章