MikroTik'te NetFlow ile Gelişmiş Ağ Trafik Analizi Rehberi

MikroTik'te Gelişmiş Trafik Analizi ve NetFlow Kullanımı

Ağ altyapısının verimliliğini artırmak ve potansiyel güvenlik tehditlerini erkiden tespit etmek için sunucu ve ağ trafiğinin kapsamlı bir şekilde analiz edilmesi kritik öneme sahiptir. MikroTik router'ları, işletmelere güçlü bir trafik izleme ve analiz imkânı sunan NetFlow protokolü ile bu alanda öne çıkmaktadır. NetFlow, ağ trafiğinin kaynak ve hedef IP adresleri, port numaraları, protokol türleri ve bayt/paket sayıları gibi kritik metriklerin toplanmasını sağlayan bir ağ protokolüdür. Sıradan bir firewall log'unun ötesine geçerek, ağ yöneticilerine gerçek zamanlı görünürlük ve uzun vadeli trafik eğilimi analizi yapma olanağı tanır.

NetFlow Nedir ve Nasıl Çalışır?

NetFlow, Cisco tarafından 1990'ların sonlarında geliştirilen ve ağ akışlarını izlemek için kullanılan bir protokoldür. Temel çalışma prensibi, ağ geçidinde (gateway) oluşan her bir trafiği "flow" (akış) olarak tanımlamak ve bu akışlara ilişkin istatistikleri toplamaktır. Bir akış, genellikle aynı kaynak IP, hedef IP, kaynak port, hedef port ve protokol kombinasyonuna sahip paketlerden oluşur. MikroTik, NetFlow'un yanı sıra sFlow ve IPFIX protokollerini de destekleyerek esneklik sağlar.

NetFlow Bileşenleri

NetFlow sistemi üç temel bileşenden oluşur: flow exporter (aktarıcı), flow collector (toplayıcı) ve analiz yazılımı. MikroTik router'lar flow exporter görevi görürken, ayrı bir sunucu üzerine kurulan yazılımlar flow collector olarak görev yapar. Toplanan veriler, ağ yöneticilerinin trafik kalıplarını anlaması, darboğazları tespit etmesi ve güvenlik ihlallerini belirlemesi için kullanılır.

MikroTik'te NetFlow Yapılandırması

MikroTik router'larda NetFlow yapılandırması oldukça basit ve etkili bir şekilde gerçekleştirilebilir. Aşağıdaki adımlar temel NetFlow kurulumunu açıklamaktadır:

1. NetFlow Arayüzünü Etkinleştirme

Winbox veya Terminal üzerinden IP > NetFlow menüsüne giderek yapılandırma başlatılır. NetFlow modülü varsayılan olarak devre dışıdır ve etkinleştirilmesi gerekir. "Enabled" seçeneği işaretlenerek başlanır.

2. Aktarım Ayarları

Flowcollector IP adresi belirlenir; bu, NetFlow verilerinin gönderileceği analiz sunucusunun IP'sidir. Tipik olarak UDP port 2055 kullanılır, ancak farklı port numaraları da yapılandırılabilir. Ayrıca, hangi arayüzlerden NetFlow verisi toplanacağı seçilmelidir; genellikle "any" seçeneği tüm arayüzleri kapsar.

3. Önbellek ve Timeout Ayarları

MikroTik, akış bilgilerini saklamak için bir önbellek (cache) mekanizması kullanır. "Active timeout" ve "Inactive timeout" parametreleri, akışların ne kadar süreyle tutulacağını belirler. Aktif timeout, akış hâlâ aktifken ne kadar sürede bir veri gönderileceğini; inactive timeout ise trafiği duran bir akışın ne kadar süre sonra kapatılacağını tanımlar.

/ip traffic-flow set enabled=yes
/ip traffic-flow target add address=192.168.1.100:2055 disabled=no
/ip traffic-flow interface add interface=ether1 disabled=no

Gelişmiş Trafik Analizi Teknikleri

NetFlow verilerini toplamak tek başına yeterli değildir; bu verilerin anlamlı hale getirilmesi için gelişmiş analiz tekniklerinin uygulanması gerekir. Aşağıda MikroTik ile kullanılabilecek ileri düzey analiz yöntemlerini inceleyeceğiz.

Uygulama Katmanı Analizi

NetFlow, katman 3 ve katman 4 bilgilerini sağlasa da, uygulama katmanı (L7) analizi için Layer7 Protocol tanımlama kuralları kullanılabilir. MikroTik'in "/ip firewall layer7-protocol" özelliği, HTTP, HTTPS, DNS, BitTorrent gibi protokolleri tanımlayarak hangi uygulamaların ne kadar bandwidth tükettiğini gösterir. Bu bilgi, container tabanlı veya geleneksel sunucu altyapılarında kaynak planlaması için kritiktir.

Trafik Önceliklendirme ve QoS

NetFlow analiz sonuçlarına dayanarak Quality of Service (QoS) kuralları oluşturulabilir. Örneğin, video konferans trafiği önceliklendirilirken, P2P trafiği sınırlandırılabilir. MikroTik'in "Queue Trees" ve "Simple Queues" özellikleri, bu önceliklendirmeyi uygulamak için kullanılır.

Anomali Tespiti

Normal trafik kalıplarından sapmalar, ağ saldırılarının veya sistem arızalarının göstergesi olabilir. NetFlow verilerindeki ani trafik artışları, bilinmeyen IP adreslerine yönelik bağlantılar veya sıra dışı port kullanımı anomalies olarak işaretlenebilir. Bu tür tespitler için DDoS koruma sistemleri ile entegre çalışmak kritik önem taşır.

NetFlow Analiz Araçları ve Yazılımları

NetFlow verilerinin anlamlı raporlara dönüştürülmesi için çeşitli yazılım çözümleri kullanılabilir. Açık kaynaklı ve ticari seçenekler mevcuttur.

Popüler NetFlow Analiz Yazılımları

Yazılım	Tür	Özellikler	Uygunluk
ntopng	Açık Kaynak	Gerçek zamanlı izleme, web arayüzü, tarihsel raporlama	KOBİ'ler
SolarWinds NetFlow Traffic Analyzer	Ticari	Kapsamlı analiz, uyarı sistemi, entegrasyon	Orta ve büyük işletmeler
Prtg Network Monitor	Ticari	Çoklu protokol desteği, kullanıcı dostu arayüz	Her ölçek
Flowalyzer	Açık Kaynak	NetFlow test ve doğrulama aracı	Teknik uzmanlar

ntopng Kurulumu

ntopng, açık kaynaklı ve yüksek performanslı bir ağ trafiği analiz aracıdır. Ubuntu veya Debian tabanlı bir Linux sunucusuna kurulum için aşağıdaki adımlar izlenir:

sudo apt-get update
sudo apt-get install ntopng
sudo systemctl enable ntopng
sudo systemctl start ntopng

ntopng, varsayılan olarak 3000 portunda web arayüzü sunar. Tarayıcı üzerinden erişilerek MikroTik'ten gelen NetFlow verileri görselleştirilebilir.

MikroTik NetFlow vs. Diğer Çözümler

Ağ trafik izleme için farklı protokoller ve çözümler mevcuttur. Aşağıdaki karşılaştırma, MikroTik NetFlow'un avantaj ve dezavantajlarını göstermektedir.

Özellik	MikroTik NetFlow	sFlow	IPFIX
Protokol karmaşıklığı	Orta	Basit	Yüksek
Donanım desteği	MikroTik cihazları	Çoklu satıcı	Çoklu satıcı
Veri detay seviyesi	Yüksek	Orta (örneklemeli)	Çok yüksek
Bantgenişliği kullanımı	Düşük-orta	Çok düşük	Yüksek
Yapılandırma kolaylığı	Kolay	Kolay	Orta

NetFlow Güvenlik Uygulamaları

NetFlow verileri, sadece performans izleme için değil, aynı zamanda güvenlik amaçları için de kullanılabilir. Ağ trafiğindeki anomalilerin tespiti, sosyal mühendislik saldırıları ve fidye yazılımı tehditlerinin belirlenmesinde kritik rol oynar.

Port Tarama Tespiti

Bir saldırganın ağa giriş yapmadan önce açık portları taradığı bilinmektedir. NetFlow verilerinde, kısa sürede çok sayıda farklı hedef porta yapılan bağlantı girişimleri port tarama işareti olabilir.

DDoS Tespiti

Dağıtık hizmet reddi (DDoS) saldırıları, anlık olarak büyük miktarda trafik üretir. NetFlow, saldırı başladığında trafik artışını hızla tespit etmeye olanak tanır. Bu sayede DDoS koruma mekanizmaları devreye alınabilir.

Veri Sızıntısı Önleme

Büyük miktarda verinin iç ağdan dışarı çıkması (exfiltration), olası bir veri sızıntısının göstergesidir. NetFlow, anormal büyüklükteki dışarı çıkan trafiği tespit ederek uyarı oluşturabilir.

Performans Optimizasyonu İçin NetFlow

Ağ performansının sürekli izlenmesi, iş sürekliliği için hayati öneme sahiptir. NetFlow verileri, darboğazların belirlenmesi ve ağ kapasitesinin planlanması için değerli içgörüler sağlar.

Bandwidth Kullanım Raporları

Departman veya kullanıcı bazlı bandwidth tüketimi raporları, kaynak dağımını optimize etmek için kullanılır. Örneğin, BT departmanı yoğun video indirme trafiği tespit ederse, QoS kuralları ile bu trafiğin diğer kritik uygulamaları etkilemesi önlenebilir.

Trend Analizi

Tarihsel NetFlow verileri, gelecekteki kapasite ihtiyaçlarını tahmin etmek için kullanılır. Özellikle GPU sunucu barındırma veya yüksek performanslı bilgi işlem gereksinimleri olan işletmeler için bu trend analizi kritik kararlar almayı sağlar.

En İyi Uygulamalar ve İpuçları

MikroTik NetFlow yapılandırmasında maksimum verimlilik için aşağıdaki en iyi uygulamalar önerilmektedir:

1. Uygun Timeout Değerleri: Çok kısa inactive timeout değerleri gereksiz akış oluşturabilirken, çok uzun değerler bellek tüketimini artırır. Genellikle 15-30 saniye inactive timeout idealdir.
2. Filtreleme Kullanın: Tüm trafiği NetFlow olarak göndermek yerine, sadece kritik arayüzleri izleyin. Bu, hem bantgenişliği tasarrufu sağlar hem de analiz karmaşıklığını azaltır.
3. Güvenlik Açısından: NetFlow verileri UDP üzerinden gönderildiğinden, şifrelenmemiştir. Hassas ağlarda IPsec tüneli kullanılması önerilir.
4. Düzenli Raporlama: Haftalık veya aylık trafik raporları oluşturarak uzun vadeli eğilimleri takip edin.
5. Yedekleme: NetFlow verileri, forensik analiz için saklanmalıdır. En az 90 günlük veri tutulması önerilir.

Sonuç

MikroTik router'larda NetFlow kullanımı, ağ yöneticilerine güçlü bir trafik görünürlü