Hozirgi davrda tadqiqot uchun qiziqarli mavzulardan biri bo‘lib Internet hisoblanadi, va bunda yordam beradigan texnologiyalardan biri dpi deep Packet Inspection hisoblanadi

TARMOQ TRAFIKINING TAXLILI

1.1. Tarmoq trafikini tahlil qilish vositalarining rivojlanish tarixi

Tarmoq trafikini tahlil qilish texnologiyasining tug‘ilishi o‘tgan asrning 90 yillariga to‘g‘ri keladi. Uning paydo bo‘lishiga ehtiyoj taxminan bir vaqtda bir necha joylarda tug‘ilgan.

Tarmoq sxemalarini murakkablashtirish va tarmoq qurilmalarining ko‘p xilligi ularini sozlashni qiyinlashtirish hamda tarmoqni ishchi holatida ushlashni qiyinlashtirishga olib keldi — bir tomondan muammoni lokallashtiruvchi, boshqa tomondan muammoning tabiati haqidagi aniq ma’lumotlarni berishga imkon yaratuvchi vosita kerak bo‘ldi. Tarmoq trafigi o‘zida butun kerakli ma’lumotlarni saqlovchi ob’ekt hisoblanadi. Aynan bu muammoni yechishga mo‘ljallangan instrumentlardan biri, tarmoq snifferi/analizatori Wireshark (oldingi nomi - Ethereal) xisoblanadi, u injener Djerald Komb tomonidan 1997 yili yaratilgan. Wireshark faol rivojlanishda davom etmoqda vatarmoq tahlilining ma’lum sohasida standart hisoblanadi.
Bu vaqtda NAT translyatsiyalar texnologiyasi qo‘llanila boshlagan, u IP adreslarni tejash uchun hamda tashqi kuzatuvchidan ichki lokal tarmoq qurilmasi va resurslarini bekitishga mo‘ljallangan.Bu texnologiyani amalga oshirish uchun qurilma talab qilingan - apparatyoki dasturiy manzilllar translyatori. Ushbu funksional natijada asosiy qism sifatida ko‘pchilik marshrutizatorlarga tatbiq qilingan. Server operatsion tizim tarkibida, hamda alohida ilovalar ko‘rinishida dasturiy ko‘rinishlari mavjud.
Mazkur vaqtga viruslar va DoS/DDoS hujumlar, asosan Synflood turidagilari, birinchi eslatmalar to‘g‘ri keladi - DDoS haqidagi birinchi eslatmalar 1996 yilga to‘g‘ri keladi. Bu tahdidlardan himoyalanish uchun paketlarni asosiy serverga tushguniga qadar tahlil qiluvchi va filtrlovchi instrument talab qilinar edi. Bunday himoyalarning bir ko‘rinishi ­- tarmoqlararo ekran (firewall) bo‘ldi. Bunday yechimning birinchi avlodi paket filtrlarning (packetfilters) turiga tegishli bo‘lib,ular paketlarni bittadan qayta ishlagan va faqat OSI modelining L1-L3 darajasini (protokollar TCP/UDP uchun) hamda transport darajasi L4 dan port nomerini tahlil qilgan.
1- jadval. OSI modeli bo‘yicha taqqoslash

Paketlarni chuqur analiz qilish (Deep Packet Inspection)

HTTP, FTP, SMTP

Amaliy pog’onasi



Taqdimot pog’onasi



JPEG, MPEG, MOV, HTML



Appletalk, Winsock

Seans pog’onasi



Paketlarni o’rtacha analiz qilish (Medium Packet Inspection)



TCP, UDP, SPX

Transport pog’onasi



Paketlarni o’rtacha analiz qilish (Medium Packet Inspection)

IP, ICMP, IPX (marshrutizator)

Tarmoq pog’onasi



Kanal pog’onasi



Ethernet, MPLS, ATM (kommutator/most)



Ethernet, Token Ring, SONET/SDH (repiter)

Fizik pog’ona

Trafikning turini aniqlash uchun (web, email va b.) IANA - portlar fiksatsiyalangan nomeri ro‘yxati qo‘llanilgan. Tahlil jarayoni paketdan olingan berilgan qoidalar jamlangan ma’lumotlarni taqqoslash, natijaga qarab— jarayonlarni jurnalga kiritish bilan va paket manbasini vaziyat haqida opsion xabarlar berish bilan tarmoqqa paketni o‘tkazish yoki blokirovkalashdan iborat. Shunga o‘xshash yechimlardanbiri DECSEAL mahsuloti bo‘lgan.

90- yillar oxiri – 2000- yillarning boshlarida, ma’lumotlar tarmoq oqimining o‘sishi natijasida tarmoq tahlilini talab qiluvchi yana ikkita masala dolzarb bo‘lib qoldi: serverlar orasidagi yuklanishni muvozanatlashtirish va tarmoq ilovalarining alohida turlari ishini tezlashtirish. Tezlashishni talab qiluvchi tarmoq ilovalariga, avvalo, HTTP, DNS, SSL protokollaridan foydalanuvchi ilovalar kirgan. Ikkinchi muammoni yechish uchun kelayotgan ma’lumotni keshlashni amalga oshirib, tarmoqda almashishni minimallashtiruvchi proksi-serverlar qo‘llanilgan.
Ikkala masalani yechish uchun ishlab chiqilgan qurilmalar (inkapsulyatsiyalangan, qisman, funksional proksi-serverlar) ilovalarni yetkazib berish nazoratchilari nomini olgan. (Application delivery controllers, ADC). Bunday yechimlar xususan Alteon, Radware, F5, Brocade, Cisco kompaniyalari tomonidan ishlab chiqilgan.
2000 yillarining birinchi yarmida tarmoq texnologiyalari jadal ravishda rivojlandi. Tarmoqda ovoz almashish vositalari (VoIP) va bir xil darajadagi tarmoqlarda P2P (Napster, KaZaA) ma’lumotlar almashish paydo bo‘ldi , bu navbatdagi ma’lumotlar tarmog‘i orqali uzatilayotgan hajmning birdan o‘sib ketishiga olib keladi. Yirik korporatsiyalarning rivojlanayotgan tarmog‘i uchun territoriya bo‘yicha tarqatilgan maydonlarni yagona lokal tarmog‘iga birlashtirish talab qilindi.Tarmoqqa hujumlar ortib borib, murakkab bo‘lib bordi, bu esa o‘z navbatida xavfsizlik uchun yangidan yangi vositalarni tadbiq etilishni talab etar edi.
Boshqaruvchi signallar uzatishni hamda turli provayderlar orasida SIP va RTP protokollaridan foydalanilgan VoIP ma’lumotlarini amalga oshirish uchun, ham telefon aloqasi uchun, ham internet uchun maxsus qurilmalar talab qilingan - sessiyalarning chegaraviy nazoratchilari (session border controllers, SBC). Ulardan umumiy oqimdan munosib trafikni ajratib berish talab qilingan edi. Qurilmadagi ma’lumotlar AcmePacket, Audiocodes, Cisco, Genband kompaniyalarida ishlab chiqarilgan.
Taqsimlangan tarmoq turli segmentlari orasidagi ma’lumotlarni samarali almashish muammolarini yechish uchun (ushbu muammo Channel optimization deb nomlangan) Wan Optimizations umumiy nomi ostida qurilmalarning butun spektri ishlab chiqilgan. Bu qurilmalar orasidan quyidagilarni ko‘rsatish mumkin:

• 
  Deduplikatsiya – o‘zaro almashuvning ikkala tomonida ham ma’lumotlarning qaytariluvchi elementlarini saqlash va keyinchalik ularga ma’lumotlarning o‘zining o‘rniga havolalarni uzatish hisobiga qayta ma’lumotlarni uzatishni kamaytirish. Tarmoq stekining turli pog‘onasida amalga oshishi mumkin ( TCP va IP)
  
• 
  Siqish – kanal bo‘yicha ma’lumotlarni siqilgan xolda yuborib, keyinchalik ikkinchi tomonidaochib yuborish orqali uzatish.
  
• 
  Latentlikni optimallashtirish - tarmoq paketlari- TCP tasdiqlanishlarni ogohlantiruvchini jo‘natish.
  
• 
  Tarkibidagilarni olishni keshlash. Proksi-serverlar yordamida amalga oshirilgan, ulardan eng keng tarqalgani Web-proksi bo‘lgan, sayt tarkibidagilarni keshlash. Bunday dasturiy ta’minotlarga Squid va Net Cache misol bo‘la oladi.
  
• 
  Intensiv tarmoq protokollarining bir necha paketlarini CIFS larnni bittaga birlashtirish.
  

Texnika ma’lumotlari natijada alohida tarmoq qurilmalari ko‘rinishida (Middle boxes), shuningdek dasturiy ravishda kuchli serverda (Network appliances) amalga oshirilgan. Birinchi ishlab chiqaruvchilardan biri Riverbed kompaniyasi bo‘lib, keyinchalik Wireshark analizatorini sotib olgan va uni o‘z mahsulotlariga integratsiyalashtirgan.
Tarmoq xavfsizligi sohasida bu davrda muhim o‘zgarishlar ro‘y berdi. Tarmoq hujumlarini murakkablashtirish shunga olib keldiki, ularni alohida paketlar bo‘yicha aniq aniqlash qiyin bo‘lib qoladi, yangi hujumlarning paydo bo‘lish tezligi — hali aniq bo‘lmagan ko‘rinishlariga ta’sir qilish kerak bo‘ladi. Birgalikda bu tarmoq potoklarining xulqi tahlili asosida himoya usullarining paydo bo‘lishiga olib keldi (tcp session behaviour analysis). Ayni paytda foydalanuvchilarga ziyon yetkazadigan zararli saytlar paydo bo‘la boshladi, shuningdek zararlanmagan saytlarga ziyonli funksionallarni kiritish usullari paydo bo‘la boshladi. Bunday hujumlardan himoyalanish uchun saytlarning yangilanuvchi qora ro‘yxatini tatbiq qilish va URL bo‘yicha filtrlash va blokirovkalash talab qilinadi. Himoya vositalarini ishlab chiqaruvchilar orasida Arbor, BlueCoat, SonicWall larni ko‘rsatish mumkin.
Tarmoq trafiki tahlili texnologiyalarining yanada rivojlanishi 2000 yillar ikkinchi yarmidan boshlangan. Bunga bir necha faktorlar sababchidir:

• 
  Uzatilayotgan ma’lumotlarning tuganmas hajm o‘sishi.
  
• 
  Bu hajmlarni uzatish imkoniyatlarini ta’minlovchi kanallar kengligining o‘sishi.
  
• 
  Uzatilayotgan ma’lumotlarning turli tumanligi sonining ortishi, ayniqsa turli profillarni tuzishda qo‘llanishi mumkin bo‘lgan va alohida foydalanuvchilar hamda turli guruhlar.
  
• 
  Tarmoq xavfi va hujumi turli tumanligi va ularning miqdoriy xarakteristikasining o‘sishi.
  

Bu faktorlar internet provayderlari va turli kompaniyalar tomonidan ehtiyojning oshishiga olib keldi (internet service providers, ISP). Bu guruhlar qiziqishlari turlicha, ammo ayni vaqtda ma’lum joylarda o‘zaro munosabatda bo‘lmoqda.
Masalan, qiziqishlarning umumiy sohasi bo‘lib tarmoq resurslarining himoyasi qatnashadi, u o‘z navbatida bir necha yo‘nalishlarga bo‘linadi:

• 
  Virusga qarshi yechimlar (AV).
  
• 
  Rivojlangan tarmoqlararo ekranlar Next Generation Firewalls (NGFW).
  
• 
  Topish tizimlari va tarmoq hujumlarining oldini olish
  
• 
  DDoS-hujumlardan himoyalanish tizimi.
  

Ayni vaqtda internet provayderlarining o‘ziga xos sohalari bo‘lib xizmat qiladi:

• 
  Eng ko‘p yuklamaga ega soatlarda, ijaradagi aloqa kanallarini kengaytirishni tejash masalasini hisobga olgan holda aloqa sifatini ta’minlash.
  
• 
  Foydali individual tariflarni tarmoq kanallarida qo‘llash individual profilni hisobga olib, taklif qilish imkoniyati hisobiga raqobatbardoshlik ustunligiga ega bo‘lish.
  
• 
  Ba’zi trafik turlari uchun o‘tkazish polosasini tartibga solish. Asosiy muammolardan biri P2P trafiki, u provayder ijaraga olgan kanalning sezilarli qismini egallab (60- 80% gacha), shunga olib keladiki, servisning kerakli sifatini ta’minlash uchun (quality of service, QoS) provayder tez sur’atlarda ushbu kanalni kengaytirishi kerak (abonentlik bazasi o‘sishi va foydalanuvchilar ehtiyojlari bashoratini qiyoslaganda) .
  

Internetdan foydalanib o‘z mahsulot va xizmatlarini taklif qilayotgan kompaniyalarning asosiy qiziqish sohasi bo‘lib foydalanuvchilarning «profillari» ularning qiziqishlari hamda afzal ko‘rishlarini nuqtai nazaridan xizmat qiladi. Bu singari profillarni foydalanuvchi kiradigan sayt ro‘yxati, uning qidiruv so‘rovlari, u qo‘llaydigan tarmoq ilovalari yordamida aniqlash mumkin.
Boshqa guruhga turli internet servislar taklif qiluvchi kompaniyalar kiradi, masalan, tarmoq funksiyalarini virtuallashtirish texnologiyasi yordamida (Network Function Virtualization, NFV). Bunday servislarga quyidagilar kiradi:

• 
  bulutli servislar,
  
• 
  himoya servislari,
  
• 
  saqlash va b.
  

Bu kompaniyalar uchun o‘ziga xos tomoni, kirish trafikining katta hajmini boshqarish masalasi—balansirovka va intellektual boshqaruv talab qilinadi.
Yuqorida keltirib o‘tilganlarga ko‘ra , tarmoq servislari sohasida ehtiyojlarning tarixiy rivojlanishida apparat, dasturiy, gibrid yechimlar asosida yotuvchi tarmoq trafiki tahlili texnologiyalari rivojlanib borgan.