Mobile-Menu

Netzwerk-Analyse und -Überwachung High-Speed Web-Based Traffic Analysis mit ntopng

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

ALE Deutschland GmbH
Vitel GmbH

ntopng ist ein Werkzeug das tiefgreifende Einblicke in das Netzwerkgeschehen gibt. Über seine Nutzung lassen sich die Netzwerkleistung verbessern, Sicherheitsrisiken minimieren und eine zuverlässige Grundlage für die Netzwerkverwaltung schaffen. Wir zeigen die Möglichkeiten.

Das Monitoring-Tool ntopng erlaubt sowohl Netzwerküberwachung und -Analyse in Echtzeit als auch die Auswertung historischer Daten.(Bild: Joos - ntop)
Das Monitoring-Tool ntopng erlaubt sowohl Netzwerküberwachung und -Analyse in Echtzeit als auch die Auswertung historischer Daten.
(Bild: Joos - ntop)

Das Tool ntopng ist seit Jahren bekannt für, umfassende Analysen in Netzwerken und Webanwendungen. Das Tool ermöglicht nicht nur die Echtzeitüberwachung von Datenverkehr und Bandbreitennutzung, sondern auch die detaillierte Analyse von Netzwerkprotokollen. Eine Integration mit anderen Überwachungs- und Sicherheitstools ist ebenfalls möglich.

Das Tool steht in den Editionen Community, Pro und Enterprise zur Verfügung. Die Community-Edition ist kostenlos, aber vom Funktionsumfang eingeschränkt. Die Unterschiede in den Editionen sind direkt auf der Webseite des Produktes zu sehen.

Bildergalerie
Bildergalerie mit 9 Bildern

Netzwerküberwachung und -Analyse in Echtzeit

Im Kern ermöglicht ntopng die Überwachung des Netzwerkverkehrs in Echtzeit. Administratoren können den Datenverkehr nach Quelle, Ziel, genutztem Protokoll und Bandbreitennutzung filtern und analysieren. Die Überwachung unterstützt zahlreiche Protokolle, darunter IP, TCP, UDP, ICMP sowie erweiterte Anwendungsprotokolle wie HTTP, FTP, und DNS. Dadurch erhalten Nutzer tiefe Einblicke in die Art und Weise, wie Netzwerkressourcen genutzt werden, und können potenzielle Engpässe oder unerwünschten Verkehr schnell identifizieren.

ntopng liefert wichtige Leistungsindikatoren wie Durchsatz, Latenz, und Paketverlust. Darüber hinaus verfügt das Tool über Funktionen zur Anomalie-Erkennung, die automatisch ungewöhnliche Muster und potenzielle Sicherheitsbedrohungen wie DDoS-Angriffe oder Netzwerkinfiltrationen identifizieren. Durch die Definition von Benachrichtigungen können Administratoren proaktiv auf solche Ereignisse reagieren, bevor sie zu größeren Problemen führen.

Ein weiterer Vorteil von ntopng ist die Fähigkeit, historische Netzwerkdaten zu sammeln und zu analysieren. Diese Funktion ermöglicht es, langfristige Trends zu erkennen, Kapazitätsplanungen durchzuführen und detaillierte Berichte über die Netzwerknutzung zu erstellen. Die Analyse historischer Daten ist besonders wertvoll für die Nachverfolgung der Effektivität von Optimierungsmaßnahmen und die Sicherstellung der Einhaltung von Netzwerkrichtlinien.

Integration mit Drittanbieter-Tools

ntopng unterstützt die Integration einer Vielzahl von Drittanbieter-Tools und -Plattformen. Beispielsweise kann ntopng mit Sicherheitsinformationen und Ereignismanagement-Systemen (SIEM, Security Information and Event Management) zusammenarbeiten, um umfassende Sicherheitsanalysen zu ermöglichen. Die Kompatibilität mit Flussdatenexport-Protokollen wie NetFlow, sFlow und IPFIX ermöglicht es, Daten aus einer Vielzahl von Netzwerkgeräten zu aggregieren und zu analysieren, was eine ganzheitliche Sicht auf das Netzwerkgeschehen erlaubt.

ntopng installieren am Beispiel von Ubuntu/Debian

Die Installation von ntopng kann über den direkten Download vom Anbieter erfolgen. Dazu wird das Repository zu den Paketquellen hinzugefügt, mit anschließender Aktualisierung des Systems:

wget http://apt.ntop.org/buster/all/apt-ntop.debsudo dpkg -i apt-ntop.debsudo apt update && sudo apt upgrade -y

Ist das erfolgt, kann ntopng installiert werden:

sudo apt install ntopng pfring-dkms nprobe n2disk cento -y

Standardmäßig nutz ntopng den Port 3000. Diese und andere Einstellungen lassen sich in der Konfigurationsdatei „ntopng.conf“ aber anpassen, zum Beispiel mit:

sudo nano /etc/ntopng/ntopng.conf

Selbstverständlich können auch andere Editoren genutzt werden.

Erste Schritte mit ntopng: Einrichtung der zu analysierenden Netzwerke

Die Anpassung der Konfigurationsdatei „ntopng.conf“ ermöglicht auch das Hinterlegen des lokalen IP-Bereiches, den ntopng untersuchen soll. Wichtig ist an dieser Stelle das Hinterlegen des Netzwerkadapters. Dazu wird das Rautezeichen (#) bei „-i“ entfernt und der richtige Adapter angegeben, zum Beispiel „eth0“. Wichtig ist noch der Port für den Zugriff auf die Weboberfläche bei „-w“ und die IP-Bereiche bei „-m“.

Es ist auch möglich den Bereich oder die Bereiche in einer eigenen Datei anzugeben, zum Beispiel „ntopng.start“. Der Parameter ist der gleiche. Bei Änderungen an den Konfigurationsdateien ist immer auch ein Neustart notwendig:

sudo systemctl restart ntopngsudo systemctl enable ntopng

Ob ntopng läuft, kann wiederum mit dem folgenden Befehl überprüft werden:

sudo systemctl status ntopng

Hier ist auch zu sehen, wenn einer der Parameter in der Datei „ntopng.conf“ falsch gesetzt ist. Der Fehler muss danach korrigiert und ntopng neu gestartet werden.

Die Weboberfläche von ntopng nutzen

Über den Port 3000 beziehungsweise den in der Datei „ntopng.conf“ festgelegten Port und http erfolgt der erste Zugriff auf die Weboberfläche von ntopng, zum Beispiel mit http://localhost:3000. Die erste Anmeldung erfolgt mit dem Benutzername „admin“ und dem Kennwort „admin“. Das Kennwort muss bei der ersten Anmeldung geändert werden. Danach beginnt ntopng bereits mit der Überwachung des Netzwerks.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Netzwerktechnik, IP-Kommunikation und UCC

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Über „Dashboard“ sind die aktivsten Hosts zu sehen, die Anwendungen, die am meisten kommunizieren und vieles mehr. Über „Hosts -> Hosts“ sind die verschiedenen Hosts im Netzwerk zu sehen und bei „Hosts -> Networks“ zeigt ntopng die Netzwerke an, die das System überwacht.

Informationen zum Netzwerk auslesen und Daten analysieren

Bei „Flows -> Live“ ist der Datenverkehr der einzelnen Hosts zu sehen, vor allem welche Daten von einer bestimmten IP-Adresse zu einer anderen geschickt werden. Alle aktiven MAC-Adressen im Netzwerk lassen sich über „Hosts -> MAC-Adresses“ finden. Interessant sind diese Informationen zum Beispiel, wenn im Netzwerk mit Layer 2 über ARP eine Analyse stattfinden soll. Wir haben dieses Thema im Beitrag „Mit ARP-Scans Sicherheitslecks im Netzwerk finden“ behandelt.

Über „Alerts -> Explorer“ und danach das Anklicken von „Flow“ zeigt ntopng Hosts und Datenverkehr an, der verdächtig erscheint. Hier sind auch die Uhrzeiten, Clients und Server, das verwendete Protokoll und auch eine Beschreibung zu finden, warum ntopng den Datenverkehr als verdächtig einstuft.

(ID:49996850)

Weiterführende Inhalte