DarkStat para BrazilFW ÍNDICE Índice Página 1 O que é o DarkStat Página 2 DarkStat e a inicialização do sistema Página 2 DarkStat e a finalização do sistema Página 2 Tela Principal do DarkStat Página 3 Gerenciar monitoramento configurados para o DarkStat Página 3 Recarregar monitoramentos ativos do DarkStat Página 3 Gerenciando monitoramentos Página 4 Elementos da tela Página 4 Visualizando um monitoramento Página 5 Ativando/Desativando/Excluindo um monitoramento Página 7 Criando um novo monitoramento Página 7 Editando um filtro para um monitoramento existente Página 9 Editando um monitoramento existente Página 10 Recarregando monitoramentos ativos Página 10 DarkStat para BrazilFW Página 1
O que é o DarkStat DarkStat é um utilitário de monitoramento de rede baseado na biblioteca pcap. O DarkStat executa o monitoramento baseando-se em uma interface de rede previamente selecionada e, opcionalmente, filtros. Uma vez ativo um monitoramento do DarkStat, é capturado o tráfego de rede e com os dados capturados são gerados gráficos e relatórios sobre utilização de banda. Com o DarkStat é possível ter estatísticas de acesso de cada host na rede, podendo-se inclusive saber a quantidade de dados enviados e recebidos por cada porta e protocolo em cada host da rede. O DarkStat permiti a utilização de filtros para a captura de tráfego. Tais filtros devem ser defenidos após a criação do monitoramento. Por padrão o addon DarkStat para BrazilFW já vem com um monitoramento ativo, sendo ele sem filtros, e configurado para a interface eth0. Mais adiante veremos as telas e opções para gerenciamento e edição de monitoramentos e seus respectivos filtros, entre outras... DarkStat e a inicialização do sistema Quando o BrazilFW é carregado, um script se encarrega de confirmar as configurações para o DarkStat. Esse script verifica se existem monitoramentos configurados e quais destes estão configurados como ativo. Caso sejam encontrados monitoramentos configurados como ativos o script de inicialização verifica se estes foram configurados como monitoramentos contínuos, verifica se existem dados salvos anteriormente pelo monitoramento em questão, importa os dados existentes referentes ao monitoramento e carrega o monitoramento. Uma vez carregado o monitoramento, suas informações poderam ser vistas em tempo real através de um browser/navegador web. DarkStat e a finalização do sistema Quando o BrazilFW é desligado ou reiniciado, é executado um script para o desligamento correto do DarkStat. Esse script encarrega-se de finalizar corretamente todos os monitoramentos do DarkStat que estiverem ativos no momento. DarkStat para BrazilFW Página 2
Tela principal do DarkStat Na tela principal do DarkStat (figura 1) encontramos dois links, os quais serão explicados a seguir. Figura 1 Tela principal do DarkStat Gerenciar monitoramento configurados para o DarkStat Esse link nos leva a tela de gerenciamento dos monitoramentos do DarkStat. Onde podemos criar novos monitoramentos, excluir/editar/ativar/desativar monitoramentos existentes e editar filtros para serem aplicados aos monitoramentos existentes. Recarregar monitoramentos ativos do DarkStat Esse link executa as rotinas de finalização e inicialização dos monitoramentos configurados como ativos. Também pode ser utilizado para aplicar alterações que tenham sido efetuadas em monitoramentos criados/configurados. DarkStat para BrazilFW Página 3
Gerenciando monitoramentos Como vimos na explicação anterior, o link Gerenciar monitoramentos configurados para o DarkStat nos leva a tela de gerência dos monitoramentos. Uma vez nesta tela, poderemos efetuar ações de gerência dos monitoramentos, porém, para isso precisamos conhecer a tela de gerência dos monitoramentos (figura 2). Elementos da tela Ações que podem ser realizadas para cada monitoramento. Informações dos monitoramentos configurados. Observe que as opções variam de uma linha para outra. Isso ocorre por que os monitoramentos possuem características e valores diferentes (por exemplo, Editar Filtro só será exibido para monitoramentos que foram criados com um tipo de filtro selecionado). Esse link nos leva à tela de cadastro/criação de um novo monitoramento. Esse link nos leva de volta a tela principal do DarkStat. Figura 2 Tela de Gerência de Monitoramentos do DarkStat. DarkStat para BrazilFW Página 4
Visualizando um monitoramento Uma vez na tela de gerência de monitoramentos, basta clicar no link Visualizar, localizado na coluna Ações na linha referente ao monitoramento que se deseja visualizar. Ao clicarmos no link citado, abriremos uma nova janela (ou aba) do/no navegador web. Nessa nova janela/aba será exibido o relatório do monitoramento que selecionamos. A tela do relatório de monitoramento é atualizada em tempo real (opcional) e conta com com alguns elementos que serão mostrados a seguir (figura 3): Link homepage Nos leva a homepage do projeto original. Link hosts Exibe uma tabela com a listagem de hosts e informações referentes ao tráfego de cada um desses hosts. Link graphs Exibe a tela dos gráficos (essa que estamos vendo na figura). Botão On/Off Habilita/Desabilita a atualização em tempo real dos gráficos exibidos na tela. Botão Reload Graphs Recarrega os gráficos (atualiza os dados) Figura 3 Tela de relatório de um monitoramento do DarkStat. DarkStat para BrazilFW Página 5
Veremos a seguir mais detalhes da tela de visualização, mais especificamente, da tabela com a listagem de hosts e informações referentes aos mesmo. A figura abaixo (figura 4) mostra a tabela com a listagem de hosts e as informações dos mesmos que foram capturadas no monitoramento. Figura 4 Tabela de Hosts e suas informações capturadas pelo monitoramento. Nessa tabela, basta que cliquemos no IP referente ao host para visualizarmos outra tela com detalhes das conexões efetuadas pelo host selecionado (figura 5). Nessa tela temos informações de quantidade de banda I/O por cada porta TCP/UDP, tendo na parte inferior da tela uma pequena tabela mostrando o total de conexões e banda I/O por protocolo (tcp, udp, icmp, egmp, etc...). Figura 5 Tela de detalhes do host selecionado. DarkStat para BrazilFW Página 6
Ativando/Desativando/Excluindo um monitoramento As funções de Ativar, Desativar, Excluir, Editar e Editar Filtro encontram-se na coluna Ações da tabela de monitoramentos do DarkStat (tela de gerência de monitoramentos do DarkStat). Suas funções são auto-explicativas, não necessitando assim que entremos em mais detalhes para todas. Criando um novo monitoramento Na tela de gerência dos monitoramentos (vide Figura 2) encontramos o link Criar Novo Monitoramento, o qual nos leva a uma tela na qual devemos preencher/selecionar algumas opções para o novo monitoramento. Cada monitoramento só pode ser efetuado baseando-se em uma interface de rede (ethx, athx, wlanx, brx), por isso temos a opção com DarkStat de criar vários monitoramentos, inclusive para a mesma interface (por exemplo, poderemos criar um monitoramento para eth0 que somente capture pacotes referentes a um IP em especifico e depois criarmos outro monitoramento também para eth0 capturando todos os pacotes referentes a porta 21). Abaixo veremos, na figura 6, a tela de configuração/criação de um novo monitoramento: Figura 6 Tela de cadastro/criação de novo monitoramento. Repare que temos 9 campos para preencher/selecionar. A seguir veremos, com um pouco mais de detalhes, cada um desses campos e qual sua função no monitoramento: DarkStat para BrazilFW Página 7
Ativar Nesse campo definimos se o monitoramento estará ativo ou não. Caso deixemos o monitoramento ativo, o mesmo já entrará em funcionamento ao acabarmos de cadastrá-lo. Interface Nesse campo selecionamos qual a interface de rede que será monitorada pelo novo monitoramento. As opções variam de servidor para servidor (são preenchidas com base no hardware detectado no servidor). Promíscuos Mode Nesse campo devemos especificar se o monitoramento utilizará o modo promiscuo para a captura de dados. Para maiores informações sobre promíscuos mode, por favor, efetue pesquisas na internet. Resolver Nomes Nesse campo devemos informar se o monitoramento fará utilização do servidor DNS para resolver os nomes dos host capturados no monitoramento. Essa opção exige mais memória do sistema. Em caso de servidores com pouca memória a recomendação é não ativar a resolução de nomes. Exibir MAC s Nesse campo devemos informar se o monitoramento irá capturar os endereços MAC de cada IP/Host capturado. Essa opção exige mais memória do sistema. Em caso de servidores com pouca memória a recomendação é não ativar a exibição de MAC s. Porta para visualização Nesse campo devemos especificar qual a porta que será utilizada para a visualização do relatório do monitoramento. Não devemos especificar portas que estejam em uso. Procure verificar quais serviços estão ativos no seu servidor e que portas esses serviços utilizam para que não haja problemas de conflitos de portas. Acesso Remoto Nesse campo devemos especificar se o acesso ao relatório do monitoramento (via browser/navegador web) será realizado apenas através da rede local (endereço IP principal do servidor) ou se também poderá ser efetuado através da internet (acessá-lo através do IP externo seguido da porta configurada, por exemplo, HTTP://189.128.74.23:667). Monitoramento Contínuo Nesse campo devemos especificar se o monitoramento será reiniciado de onde parou ou do zero. Por exemplo, ativamos um monitoramento no dia 23/01/2010, porém, no dia 25/01/2010 tivemos que reiniciar o servidor. Ao reiniciar o servidor o monitoramento será reiniciado. Esse campo serve para especificar se esse monitoramento continuará de onde ele parou ou se os gráficos e estatísticas iniciarão do zero novamente. Filtro Nesse campo devemos especificar se utilizaremos filtros ou não no monitoramento. Caso optemos por utilizar filtros, devemos selecionar que tipo de filtro utilizaremos. O filtro somente será definido após o cadastro do monitoramento. Temos duas opções de filtros: Simples e Avançado. O filtro Simples é editado utilizando uma espécie de assistente e é realmente simples. O filtro Avançado já mais complexo, por que não conta com um assistente. No filtro Avançado, o filtro é construído baseando-se nos filtros do TCPDUMP, o que exige um certo grau de conhecimento. Mais adiante, nesse tutorial, iremos ver em detalhes a criação de filtros Depois de termos preenchido TODOS os campos do formulário, basta clicar no botão Enviar para concluirmos o cadastro do novo monitoramento. DarkStat para BrazilFW Página 8
Editando um filtro para um monitoramento existente Após criarmos/cadastrarmos um novo monitoramento, caso tenhamos selecionado algum tipo de filtro para o monitoramento (Simples ou Avançado), poderemos editar o filtro para o monitoramento. Para tal devemos clicar no link Editar Filtro (coluna Ações, linha referente ao monitoramento desejado). Ao clicarmos nesse link, iremos para a tela de edição do Filtro. Contamos no DarkStat, com dois tipos de Filtro: Filtro Simples e Filtro Avançado. Cada um possui uma tela especifica para sua edição, como veremos a seguir nas figuras 7 e 8: Aqui devemos selecionar um item para ser filtrado (Nome de Host, IP, Rede ou porta). Aqui devemos selecionar como o filtro atuará. Filtrando por origem, destino ou ambos. Aqui devemos definir um valor para o campo anterior (por exemplo, se selecionamos IP, devemos inserir um endereço IP). Figura 7 Tela de edição de Filtro Simples Aqui devemos digitar/construir um filtro baseado em filtros do TCPDUMP. Esse link aponta para um manual de filtros do TCPDUMP (em inglês). Figura 8 Tela de edição de Filtro Avançado. DarkStat para BrazilFW Página 9
Editando um monitoramento existente A edição de monitoramentos existentes consiste em clicar-se no link Editar (coluna Ações, linha referente ao monitoramento desejado). Isso irá levar-nos a tela de edição de monitoramento. Essa tela é idêntica a tela de cadastro/criação de um novo monitoramento, portanto, não entraremos em detalhes sobre ela. Qualquer dúvida, basta consultar o capítulo Criando um Novo Monitoramento (página 7). Recarregando monitoramentos ativos É utilizado para encerrar e reiniciar os monitoramentos ativos do DarkStat. Pode ser utilizada também para aplicar alterações realizadas em filtros e/ou monitoramentos existentes. Basta ir à Tela Principal do DarkStat e clicar no link Recarregar Monitoramentos Ativos do DarkStat. A tela mostrada a seguir (figura 9) exibe as estatísticas de encerramento e reinicio dos monitoramentos ativos. Figura 9 Tela de Recarga de monitoramentos ativos do DarkStat. Caso, na tela exibida na figura 9, seja exibida alguma mensagem de falha (Falha!), é recomendado que se execute novamente a Recarga dos monitoramentos ativos. Caso a mensagem persista, deve-se reiniciar o servidor. Amigos, espero ter ajudado com esse pequeno Tutorial. Qualquer dúvida, por favor, postar em WWW.brazilfw.com.br (provavelmente existirá o tópico sobre o DarkStat em AddonFactory). DarkStat para BrazilFW Página 10