nProbe? Agent
nProbe?代理(以前稱(chēng)為nProbe mini)是一個(gè)輕量級探測器,它實(shí)現了基于事件的低開(kāi)銷(xiāo)監視,主要基于libebpfflow(基于eBPF)和Netlink等技術(shù)。
此小型代理通過(guò)系統自檢增強網(wǎng)絡(luò )可見(jiàn)性,同時(shí)使用最少的CPU和內存。它使用系統自省的進(jìn)程、用戶(hù)、容器、協(xié)調器和其他性能指標來(lái)豐富傳統網(wǎng)絡(luò )數據,如IP地址、字節和數據包
這使nProbe?Agent非常有效地回答了通常仍未解決的一系列新問(wèn)題,其中:
向惡意軟件主機生成流量的過(guò)程是什么?誰(shuí)是此過(guò)程的所有者?
我的容器彼此通信時(shí)經(jīng)歷的通信延遲是多少?
特征
主要特點(diǎn):
通過(guò)系統數據(例如負責網(wǎng)絡(luò )通信的用戶(hù)和進(jìn)程)豐富網(wǎng)絡(luò )
通過(guò)ZMQ和Kafka以JSON格式導出
與ntopng集成開(kāi)箱即用
IPv4和IPv6支持以及性能指標
TCP和UDP支持
容器和協(xié)調器的可見(jiàn)性(Docker,Kubernetes)
nProbe? Agent能夠提取的信息包括:
所有TCP和UDP網(wǎng)絡(luò )通信(對等,端口,狀態(tài))
TCP計數器,包括重傳,亂序和往返時(shí)間
通信背后的用戶(hù),進(jìn)程和可執行文件
容器ID和名稱(chēng),協(xié)調器POD和命名空間
nProbe? 與nProbe? Agent
nProbe ?是一種流量探測器,能夠處理實(shí)時(shí)流量(網(wǎng)絡(luò )鏈路上的原始數據包)或收集Netflow。nProbe?利用深層數據包檢查(nDPI)通過(guò)查看數據包有效負載來(lái)識別應用程序協(xié)議。nProbe?Agent更進(jìn)一步,可提供生成給定流量的應用程序的可見(jiàn)性,運行該應用程序的用戶(hù),系統看到的真實(shí)指標(例如,延遲)。
nProbe? Agent 與 ebpftoolexport
libebpfflow內部 有一個(gè)名為ebpftoolexport的簡(jiǎn)單工具,其中包含nProbe?Agent提供的功能的子集。特別是它不包括NetLink支持,也不通過(guò)Kafka導出。但是,這兩種工具都可以與ntopng一起使用,以通過(guò)系統自省來(lái)豐富網(wǎng)絡(luò )。
跟蹤網(wǎng)絡(luò )活動(dòng)背后的用戶(hù)和進(jìn)程
想知道嘗試從惡意軟件主機下載文件的用戶(hù)是誰(shuí)嗎?他/她正在運行哪個(gè)進(jìn)程?n Probe?代理為您提供答案,跟蹤與主機上運行的客戶(hù)端或服務(wù)的所有通信,并使用套接字提取所有詳細信息,包括用戶(hù)和進(jìn)程。
對容器間網(wǎng)絡(luò )通信具有可見(jiàn)性
在同一主機上部署多個(gè)相互通信的容器是很常見(jiàn)的。在這種情況下,他們的通信流量永遠不會(huì )到達電線(xiàn),因為它始終停留在主機上。因此,使用鏡像端口或TAP監視其流量的任何嘗試都將失敗。幸運的是,nProbe?代理還可以在主機上進(jìn)行網(wǎng)絡(luò )活動(dòng)時(shí)檢測,計數和衡量網(wǎng)絡(luò )活動(dòng)。
以下是nProbe?Agent發(fā)現的網(wǎng)絡(luò )通信,該通信在進(jìn)程之間進(jìn)行/sidecar在容器內運行/sidecarKubernetes POD的一部分kube-dns-6bfbdd666c-jjt75,和過(guò)程/usr/bin/dnsmasq在容器內運行dnsmasq同一Kubernetes POD的一部分。
導出信息示例:
每個(gè)容器和每個(gè)POD的網(wǎng)絡(luò )活動(dòng)和性能指標
想知道給定容器的性能嗎?有興趣找出您的操作系統虛擬化基礎架構中的真正瓶頸嗎?使用nProbe?Agent,您可以使用例如測量的通信往返時(shí)間來(lái)發(fā)現容器和POD的活動(dòng)和性能。