Особенности инструментария для анализа сетевого трафика

• Ivan Tatarinov (MLIT JINR)
• Valery Ivanov

Room: 310 Исследование сетевого трафика является важным этапом в задаче обеспечения безопасности и оптимизации производительности компьютерных сетей. Анализ разнообразных характеристик сетевого трафика (в том числе предельных вероятностных распределений скорости передачи данных), понимание особенностей поведения сетевого трафика и выявление аномалий (в том числе в результате DDoS атак) являются ключевыми аспектами этого вида исследований. Данная работа описывает разработку и использование инструментария, обеспечивающего полный спектр задач по анализу сетевого трафика от его сбора с разных типов компьютерных сетей и заканчивая визуализацией результатов анализа. Огромные объемы (в случае исследования сетевого трафика в крупных магистральных каналах, насчитывающих миллионы сетевых устройств) и разнообразие сетевого трафика (в случае исследования сетевого трафика в небольших компьютерных сетях, в том числе домашних компьютерных сетях) требуют с одной стороны высокой производительности, а с другой – гибкости управления и тонкой настройки, которые часто не удовлетворяются стандартным инструментарием. В рамках исследования сетевого трафика пришлось столкнуться с необходимостью разработки кастомного инструментария, достаточно гибкого и мощного для эффективного анализа масштабных объемов сетевых данных. Для выполнения задач по исследованию сетевого трафика был разработан комплекс инструментов, охватывающих все этапы анализа сетевого трафика, включая перехват данных, хранение, непосредственно анализ сохранённых данных и визуализацию результатов. Каждый компонент инструментария оптимизирован для предоставления высокой эффективности и точности в ходе обработки и интерпретации сетевых данных. Каждый этап анализа сетевого трафика потребовал применения собственных подходов для достижения поставленных целей. Например, на этапе перехвата и сохранения сетевого трафика потребовалась постобработка для существенного уменьшения как объёма сохраняемых данных, так и увеличения скорости последующего считывания сохранённых данных, на этапе анализа сетевого трафика потребовались алгоритмы быстрого расчёта параметров для аппроксимирующих кривых и т.д. __Special features of the toolkit for network traffic analysis__ Research on network traffic is an important stage in ensuring the security and optimizing the performance of computer networks. Analyzing various characteristics of network traffic, including the probability distribution of data transmission speed, understanding the behavior patterns of net-work traffic, and detecting anomalies, such as those resulting from DDoS attacks, are key aspects of this type of research. This paper describes the development and utilization of a toolkit that pro-vides a full range of tasks for analyzing network traffic, from collecting data from various types of computer networks to visualizing the analysis results. The massive volumes (in the case of researching network traffic in large backbone channels with millions of network devices) and the diversity of network traffic (in the case of studying net-work traffic in small computer networks, including home computer networks) require both high performance and flexible management with fine tuning, which are often not satisfied by standard tools. In the context of network traffic research, the necessity arose to develop a custom toolkit that is flexible and powerful enough for effectively analyzing large-scale network data. To carry out tasks related to the study of network traffic, a comprehensive set of tools was developed, covering all stages of network traffic analysis, including data interception, storage, di-rect analysis of stored data, and visualization of results. Each component of the toolkit is optimized to provide high efficiency and accuracy in processing and interpreting network data. Each stage of network traffic analysis required the application of specific approaches to achieve the set goals. For example, during the data interception and storage stage, post-processing was required to significantly reduce both the volume of stored data and the speed of subsequent data retrieval. During the network traffic analysis stage, algorithms for rapidly calculating parame-ters for approximating curves and so on were required.