Классифицирование трафика по номеру порта (приложения NTA)

Можно пометить трафик в своей сети так, чтобы им было легче управлять, связывать с конкретными службами или приложениями и распознавать в информационных панелях NOC и подробных отчетах, с помощью библиотеки приложений NTA. Также можно пометить трафик для случаев, когда один и тот же порт используется двумя разными службами или разными экземплярами служб одного приложения в отдельных сегментах сети или подсетях.

Tip: После применения этих тегов можно проверить, наблюдается ли имеющимися средствами трафик, соответствующий этим правилам, проверив отчеты Основных n приложений или Основных n обменов данными. И наоборот, эти сопоставления приложений будут удалять элементы из отчета Неклассифицируемый трафик.

Определение правил Библиотеки приложений для двух служб, использующих порт 8383 (при просмотре фильтр порта установлен на «8383»)

Приложения NTA позволяют маркировать сетевой трафик по следующим признакам:

Транспортный протокол (TCP, UDP, SCTP, DCCP).
Используемый наблюдаемый порт.
Сеть, сегмент сети или подсеть, где наблюдался трафик.

Использовать сопоставления, определенные в Библиотеке приложений NTA

Библиотека приложений NTA изначально заполнена наиболее распространенными связями между приложениями и портами и транспортными протоколами, многие из которых являются распространенными приложениями, описанными в известных определениях портов IETF (список компаний, которые подали заявку в регулирующий орган IETF, с указанием конкретного номера порта).

Использовать настраиваемые сопоставления

Если нужно создать более конкретную метку, чем при использовании сопоставления по умолчанию для приложений NTA, также можно переопределить их для всей сети или для отдельной подсети либо переопределить их для разных транспортных протоколов (например, UDP или TCP).

Important: Каждый раз, когда указывается сопоставление портов (приложение NTA) с подсетью, NTA заменяет все случаи глобальных диапазонов (сопоставления, в которых не указана подсеть) для данных в указанном диапазоне подсети.

Добавление привязки в порту:

Откройте Библиотеку приложений NTA (меню Параметры > Анализ сетевого трафика > Приложения NTA).
Откроется диалоговое окно библиотеки приложений NTA.
Нажмите «Добавить» или выберите существующее определение и нажмите «Изменить».
- Приложение. Введите имя/метку, которую нужно связать с портом. Пример: Apache Tomcat.
- Порт или диапазон. Добавить порт или диапазон. Пример: 8088
- TCP/UDP/SCTP/DCCP. Ожидаемый транспортный протокол (выберите один). Пример: TCP
- Подсети. Добавьте IP-адреса подсети, чтобы применить эти правила только к определенным сегментам сети.
  Important: Указывать подсеть необходимо в нотации CIDR. Например, чтобы указать трафик узла в сети 192.0.2.x, необходимо указать диапазон, который выглядит следующим образом: 192.0.2.0/24. Это значение применяется к диапазону IP-адресов от 192.0.2.0 до 192.0.2.255.
Добавьте дополнительные порты и нажмите Сохранить или сразу нажмите Сохранить.
Проверьте данные отчета, такие как отчет Основные n приложений или Основные n обменов данными о примененном сопоставлении. И наоборот, эти сопоставления приложений будут удалять элементы из отчета Неклассифицируемый трафик.

Указание приложения для конкретной подсети (показан порт для iMail WebUI)

Лучшие практики: Связывание приложения (порта), видимого в потоке только для определенной подсети

При переопределении или применении более конкретной маркировки приложения для общеизвестного сопоставления порт/приложение рекомендуется делать это в Библиотеке приложений NTA с минимально необходимой областью действия (уровень подсети), а затем зарегистрировать это изменение как часть ваших сетевых операций.

Указанная подсеть

Указанный порт

Поведение

192.0.2.0/24

8383 (iMail Admin UI)

Только трафик, видимый в определенной подсети, будет отмечен приложением Ipswitch iMail Admin UI в отчетах и сводных панелях NTA. Другой трафик за пределами этого диапазона подсети и за пределами других известных сопоставлений портов будет считаться неклассифицируемым.

Note: Если подсеть не указана, сопоставление порта приложения NTA считается глобальным. Другими словами, оно применяется ко всему трафику NTA.

Глобальный диапазон: Подсеть не указана

Указанная подсеть

Указанный порт

Поведение

Нет

8383 (Ipswitch iMail Admin)

Весь обнаруженный поток трафика отмечается приложением Ipswitch iMail Admin в отчетах и сводных панелях NTA.

Note: Если порт не указан, сопоставление порта приложения NTA считается глобальным. Другими словами, оно применяется ко всему трафику NTA.

Note: Анализ сетевого трафика считает сетевой трафик «неклассифицированным», если порты источника и назначения либо находятся за пределами известного диапазона портов, либо не классифицированы в Библиотеке приложений.

Tip: Используйте общие правила приложения NTA (например, порт 8383 = TCP) для больших сегментов сети. Затем добавьте конкретные правила для этого же порта и настройте идентификацию портов для определенных подсетей, где это необходимо (например, для небольшого участка сети, порт = 8383 в подсети = 192.0.2.0/24 может иметь метку Ipswitch iMail).