Argus. Auditando el tráfico de red. Parte 3. Generación de gráficas con ragraph.

Seguimos con esta serie dedicada a Argus – Auditing Network Activity, que iniciamos con la parte I (Argus. Auditando el tráfico de red. Parte I) dedicada a entender un poco su filosofía, uso básico y las herramientas ra y rasort.

También vimos en la parte 2 (Argus. Auditando el tráfico de red. Parte 2 )el uso de racluster para la agrupación de datos según unos criterios establecidos y generando unos reportes estádisticos muy potentes y flexibles.

ejemplo4_1.png

En esta ocasión vamos a estudiar la generación de gráficas con ragraph.

¿ Qué es ragraph ?.

Se trata de una herramienta de Argus, un script de perl, que se encarga de la generación de gráficas a partir de los datos aportados por otras herramientas de la suite o datos en formato argus almacenados en ficheros.

Para su uso es preciso tener instalado:

  • Perl
  • RDDtool

Generación de gráficas con ragraph.

Ragraph soporta, para la generación de gráficas, la siguientes métricas:

  • bytes,
  • packet,
  • average
  • duration,
  • loss,
  • jitter,
  • load,
  • rate.

Y podemos asociar estas métricas con inforamación de direcciones IP (saddr y daddr), puertos y número de puertos, protocolos, etc.

Ragraph genera un archivo, por defecto, png. Para salvar un archivo usamos -w.

Y como en todas la herramientas, podemos usar las opciones de ra. Hemos visto algunas y en otros capítulos profundizaremos.

Además tenemos una serie de opciones para formatear o modificar la apriencia de nuestras gráficas. Lo iremos viendo en los ejemplos.

Y como siempre,  los ejemplos prácticos serán los que nos habran la mente y veamos como funciona.

Ejemplo 1.

Queremos generar una gráfica con una métrica por bytes a partir de un determinado fichero de datos argus.

Lo más simple para este caso sería:

ragraph bytes -M 5s -r XPLICO.arg -title “Bytes totales” -width 560 -height 350 -w ejemplo1.png

  • bytes métrica para generar datos ede bytes/segundo
  • -M 5s  para el eje x cada 5 segundos.
  • -r leemos el archivo de datos
  • -title ponemos un título a la gráfica
  • -w salvamos la gráfica
  • -width -height establecemos dimensiones de la gráfica

grafica ragraph argus

Este sería el ejemplo más sencillo.

Ejemplo 2.

Vamos ahora a generar un gráfica  de bytes/segundo atendiendo a los puertos udp destino usados. Indicamos entonces las métrica bytes y dport y establecemos un filtro para solo udp.

ragraph bytes dport -M5s -r XPLICO.arg -title “Bytes totales / puertos udp” -height 350 -width 560 -w ejemplo2.png – udp

argus ragraph bytes dport

Vemos, con colores los puertos usados.

Ejemplo 3.

Generamos una gráfica para bytes totales tanto destino como origen.

ragraph dbytes sbytes -M5s -r XPLICO.arg -title “Bytes totales origen destino” -height 350 -width 560 -w ejemplo3.png

ejemplo3.png

Ejemplo 4.

Generamos una gráfica igual que la anterior pero añadimos IP origen solo para nuestra red interna. Establecemos un filtro y añadimos a la métrica saddr. Además solo queremos las 5 IPs que más tráfico generan.

ragraph dbytes sbytes saddr -N 5 -M5s -r XPLICO.arg -title “Bytes totales segun IP origen” -height 350 -width 560 -w ejemplo4_1.png – src net 192.168.1.0/24

ejemplo4_1.png

Ejemplo 5.

En este caso generaremos una gráfica para retransmisones y pérdidas de paquetes tanto para origen como destino.

ragraph sloss dloss -N 5 -M10s -r 050608.arg -title “Retransmisones / perdida paquetes” -height 350 -width 560 -w ejemplo5.png

ejemplo5.png

Ejemplo 6.

Vamos a ver las tráfico relativos a DNS (udp puerto 53). La métrica según bytes y IP de origen.con la opción -fill eliminamos el releno de las barras.

ragraph bytes saddr -M1s -fill -r gateway.arg -w ejemplo6.png – udp and port 53

ejemplo6.png

Ejemplo 7.

Bytes por protocolo pero solo para udp.

ragraph bytes proto -M20s -fill -r 050608.arg -title “Bytes por protocolo” -w ejemplo7.png – udp

ejemplo7.png

Ejemplo 8.

Para medidas de rendimiento Jitter, IP origen y bytes origen/ destino.

ragraph saddr dbytes sbytes jitter -M1s -fill -r skipe.arg -title “Jitter” -w ejemplo8.png – src net 192.168.1.0/24

ejemplo9.png

==============

Bueno, y hasta aquí por hoy. Después de estos dias de fiesta seguiré con la serie dedicada a Argus. Felices fiestas y hasta la próxima.

Esta entrada fue publicada en Argus, Seguridad y redes. Guarda el enlace permanente.

2 respuestas a Argus. Auditando el tráfico de red. Parte 3. Generación de gráficas con ragraph.

  1. Pingback: Argus. Auditando el tráfico de red. Parte 6. Argus y Geolocalización con GeoIP. | Seguridad y Redes

  2. mike dijo:

    Excelente aporte! Muchas Gracias!!

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s