Un aspecto significativo que persiguen los administradores de red de una organización, lo constituye la de
monitorizar el tráfico de la red, teniendo en cuenta fundamentalmente el uso que se le está danto. A menudo se contrata un caudal significativo con un proveedor pero éste es desaprovechado. Otras veces la conectividad es lenta y se achaca a que haya o bien mucho tráfico o problemas de líneas. En ocasiones un malware no controlado puede estar enviando tráfico de forma externa o bien saturando la conectividad de red.
Un ejemplo claro de pérdida por malware lo constituye el comportamiento de un gusano como Conficker. Podría llegar a detectarse la presencia del mismo en máquinas por el tipo de conexiones que están realizan a determinadas direcciones URL e IP en Internet. A partir de estas trazas podrían localizarse máquinas infectadas que de otra forma hubiera sido complicado.
El administrador de red requiere de argumentos para dar respuesta a algunas de los problemas que puedan generarse y
GFI WebMonitor los aporta. Este producto proporciona una fuente importante de información para conocer el estado de las comunicaciones, diferenciado en diferentes categorías:
-
Conexiones activas: Muestra aquellas conexiones que estuvieran realizándose en ese momento. Permite conocer la actividad de la red con diversos parámetros.
-
Conexiones pasadas: Muestra las 2000 últimas conexiones que hubieran tenido lugar.
-
Descargas ocultas: Muestra aquellas descargas que sin intervención del usuario son realizadas sobre túneles SSL y no son realizadas desde sitios seguros, como las páginas de descargas de los fabricantes de software. Este mecanismo permitirá detectar la presencia de malware tipo troyano reverso que realiza una actividad oculta en la organización.
-
Búsqueda: Permite realizara búsquedas de tráfico basados en usuario o dirección IP, categorías, sitios o fechas.
-
Consumo de ancho de banda: Muestra diferentes informes que permitirán conocer todas las estadísticas del uso que se le da a la red.
-
Histórico de sitios: Muestra las conexiones realizadas y por cuantos usuarios o direcciones IP diferentes son hechas.
-
Histórico de usuarios: Muestra las actividades de usuarios, siendo significativa la correspondiente a aquellos usuarios que han intentado realizar acciones indebidas que están controladas mediante políticas.
-
Registro de actividad: Muestra las acciones propias que estuviera realizando GFI WebMonitor, como por ejemplo el análisis de malware en las descargas que tuvieran lugar.
Figura 1: Monitorización de las conexiones
La información proporcionada puede ser bastante útil para un administrador. Por ejemplo a la hora de calibrar el servicio de caché de MS Forefront Threat Management Gateway TMG 2010 o para identificar usuarios que bien están comprometiendo la seguridad de la organización, bien conscientemente o sin darse cuenta de ello.
A través de diferentes post se irán proporcionando algunas de las características de estos sistemas de monitorización, así como las claves para que un administrador pueda sacar partido de ellas. Si quieres probar las características descritas en este artículo, puedes probar
una versión de evaluación de GFI WebMonitor