复杂网络环境中的OSSIM实践

目前OSSIM 64位版本对于监控10/100M网络环境没有问题，千兆网络环境中，在三层交换机上监控多个VLAN的流量有就有些吃力，交换机设置端口镜像后同样会是CPU占用率上升。具统计，当流量超过500MB/s时，在OSSIM分析数据包时会出现响应迟缓，伴随丢包现象出现，而且准确性迅速下降。

1. 高速网络中应用

在OSSIM中的IDS模块中，流量一大就会出现数据处理瓶颈。数据包处理过程的难点是IP碎片重组和TCP流量重组。而这两种重组过程不但要IDS模块中完成，而且需要对数据包进行深度检测（例如进行数据包模式匹配），尤其在千兆网络环境中，IP碎片重组和TCP流重组需要很强的CPU处理能力，比如TCP用于控制数据流的窗口，最大可以为64KB，当IDS系统要同时维护1,000,000个TCP会话时，即使缓冲区大小为4KB，其所占的内存空间达到4GB。面对这样复杂的过程，如果你的服务器CPU选型不达标，系统响应速度就会迅速下降。

2. 多嗅探器场合

在一些特殊场合为了鉴别各种IDS的特性会同时使用多套IDS系统，比如安装OSSIM然后同时使用HP-Arcsight分析网络数据包（或IBM QRadar），这时传统端口镜像（SPAN）的方法无法满足。也就是说遇到需要将一个监测数据流传送给多台监测设备的情况采用SPAN无法满足。凡是需要将多个监测数据流传送到单台监测设备的情况SPAN同样无法满足。

• 注意：在网络核心设备上开启SPAN需慎重，如果CPU利用率长期超过20%,则不建议开启，以免影响网络性能。

对于这两种情况我们可以采用网络分流器的设备解决，它是一个独立的硬件，支持千兆甚至是万兆网络环境（比如Gigamon的方案），而且它不会对已有网络设备的负载带来任何影响，这与端口镜像等方式相比具有极大的优势,它的分流模式，是将被监控的UTP链路用TAP分流设备一分为二，分流出来的数据接入采集接口，为信息安全监控系统采集数据。

3. Sensor部署技巧

OSSIM的传感器安放位置，至关重要。很多人曾经都安装过sniffer嗅探器，在大型网络中这种做法并不像将主机接入网络那样简单。作为网络管理人员，应该清楚所管理网络环境的具体情况。如图1所示的就是一个某企业的网络拓扑结构。

图1 如何选择嗅探器的位置

在交换式网络中采用端口镜像是捕获流量最简单的方法，但所使用的交换机必须支持端口镜像（Port Mirroring）功能，以及有一个空闲端口，可插入嗅探器。大多数中档以上的交换机都支持端口镜像功能，但支持程度不同。

支持SPAN的设备

Tp-link常用的有镜像功能的交换机有tplink sf2005 5口镜像交换机

Tp-link 2428WEB 24口可网管镜像交换机

Cisco WS-C6509、WS-C4006、WS-C3750G-24T-E、WS-C3550-48EMI、WS-C2950G-24-EI华为S2008/S2016/S2026/S2403H/S3026均支持端口镜像。

图2 交换式网络中的Sensor部署

如果在路由式网络中OSSIM Server和Sensor之间最好不要跨安全设备，否则会影响系统通讯。