Grafische Auswertung von Iptables Logfiles

Transkript

1 Grafische Auswertung von Iptables Logfiles Fachhochschule Zürich Thomas Grieder 10. September

2 Übersicht Übersicht Ausgangslage Ziele Methodik Logfile Iptables TreeMap Entscheid Tabelle oder Datenbank Ablaufdiagramm Programm 2

3 Übersicht Programm Demonstration Test Vergleich mit anderen Tools Verbesserungspotential Schlussfolgerungen Quellen Internet Fragen & Antworten 3

4 Ausgangslage Vermehrt frei erhältliche Software Verbreitung von Linux nimmt zu Hackerangriffe DoS (Denial of Service) Steigende Sicherheitserwartungen Grosse Logfiles Hoher manueller und zeitlicher Analyseaufwand 4

5 Ziele Programm zur Auswertung von Logfiles Computergestützte Analyse Grafische Darstellung Analyseaufwand verkleinern Plattform Unabhängigkeit Kosten / Aufwand tief halten 5

6 Methodik Studium technischer Literatur Analyse des Aufbaus eines Logfiles Entscheid Tabelle oder Datenbank Entwicklung Design Aufteilung des Programms in Module Entscheid über grafische Darstellungsart Test des Programms 6

7 Logfile Sammelbüchse für wichtige Systeminformationen Viele Programme und Dienste schreiben in das Logfile das File wird sehr gross Fremddaten Aufbau des Logfiles Nov 10 12:36:21 jupiter kernel: Drop all UDP IN= OUT=eth0 SRC= DST= LEN=78 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=UDP SPT=137 DPT=137 LEN=58 7

8 Iptables Paketfilter für TCP, IP, UDP und ICMP Pakete NAT (Network Address Translation) Hauptarbeit übernimmt der Kernel 8

9 TreeMap Gedacht für Verzeichnisse und Dateien Hierarchische Daten grafisch ausgeben Zusatzinformationen mit Tooltip Beispiel (Demonstration) 9

10 Entscheid Tabelle oder Datenbank Vorteile Nachteile Tabelle - Findet im RAM Platz - Abfragen muss man selber - Keine zusätzliche Software Programmieren Datenbank- Abfragen sind einfach zu erstellen - Gruppieren - Sortieren - Filtern - Berechnen - Grosse Datenmengen - Braucht Datenbank Software 10

11 Ablaufdiagramm Programmablauf schematisch dargestellt 11

12 Programm Auslesen des Logfiles Speichern der Daten in MySQL Auslesen der Daten mit SQL-Abfragen Übergeben der Daten an TreeMap-Library Daten grafisch darstellen 12

13 Programm Auslesen des Logfiles (1) Zeilenweise aus dem Logfile lesen: try { BufferedReader reader = new BufferedReader(new FileReader(file)); while (reader.ready()){ line = reader.readline(); /* lesen der Einträge aus dem String line */ } reader.close(); } 13

14 Programm Auslesen des Logfiles (2) Suchmuster Eine Zeile aus einem Logfile: Nov 10 12:36:21 jupiter kernel: Drop all UDP IN= OUT=eth0 SRC= DST= LEN=78 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=UDP SPT=137 DPT=137 LEN=58 Speichern der Daten Testversion: In einem Vector MySQL 14

15 Programm Speichern der Daten in MySQL Connector/J Aufruf zum Öffnen der Verbindung kommt aus dem Modul zum Lesen des Logfiles Erstellen des SQL-Strings im Lesen- Modul und Übergabe an addtablerow 15

16 Programm Auslesen der Daten mit SQL-Abfragen Abfrage: select src, dpt, count(dpt) as sum_dpt from fwanalyzer group by src, dpt order by src; src dpt sum_dpt rows in set (0.04 sec) 16

17 Programm Übergeben der Daten an TreeMap-Library fwatmnode erstellt die Baumstruktur Zeilenweise aus der Datenbank lesen: Wird aus fwatmnode gestartet Zeilen werden direkt an fwatmnode übergeben 17

18 Programm Daten grafisch darstellen fwatmnode Für die Erstellung der Baumstruktur zuständig fwatmdraw Für die Darstellung zuständig fwatmsize Für die Grösse zuständig 18

19 Programm Demonstration 19

20 Test Getestete Punkte Funktioniert der Programmstart? Stimmt die Anzahl Zeilen in der Datenbank? Sind die Daten in der Datenbank korrekt? Stimmt die grafische Darstellung? Funktioniert die grafische Oberfläche? Positives Testresultat 20

21 Vergleich mit anderen Tools Vorteile Nachteile Fwanalyzer- Schnelle Analyse der Datenmenge - Braucht eine Datenbank - Plattformunabhängigkeit - Für grosse Datenmengen geeignet Fwanalog - Viele Auswertungsmöglichkeiten - Nur Kreisdiagramme - Shellscript - Keine mengenmässige Auswertung FWReport - Echtzeit Analyse - Nur textbasierte Auswertung 21

22 Verbesserungspotential Grafikausgabe in einer Webseite Bedienungsmöglichkeit über Webinterface Ohne Datenbankanbindung 22

23 Schlussfolgerungen Fwanalyzer ist hervorragend geeignet zum Auswerten von Iptables Logfiles Gut einsetzbar für grosse Datenmengen Anwendbar vom Heimbenutzer und Grosskonzern Nur versuchte DoS Angriffe aufspürbar 23

24 Quellen Buch: MySQL Autor: Michael Kofler Verlag: Addison-W esley Buch: Linux Hacker's Guide Autor: Anonymous Verlag: Markt + Technik Buch: TCP/IP Autor: Mathias Hein Verlag: mitp Buch: Das Firewall Buch Autor: W olfgang Barth Verlag: SuSE Press Internet: Thema: Iptables Internet: Thema: MySQL und Connector/J Internet: Thema: GUI für Iptables Internet: java.sun.com Thema: java Internet: treemap.sf.net Thema: TreeMap 24

25 Internet Alle Dokumente und Quellcodes: 25

26 Fragen & Antworten Fragen & Antworten Diskussion 26