06. 11. 2024
AI, Log-SIEM, Machine Learning, NetEye
Durante l’evento di Nagios del 2009 abbiamo avuto il piacere di conoscere Luca Deri, sviluppatore del progetto Open Source ntop.
ntop ha come obiettivo primario la realizzazione di un analizzatore di traffico di rete. Usando una proporzione come esempio, potremmo dire che Nagios sta all’infrastruttura come ntop sta alla rete.
Abbiamo così iniziato una stretta collaborazione con Luca per realizzare un nuovo modulo in NetEye “Network Traffic Monitoring”, con il quale riusciamo ad avere dettagli sulla comunicazione di rete a livello di protocolli e inidirizzi IP. Al momento, con NetEye, abbiamo solamente la possibilità di visualizzare grafici Cacti di in-out band, sui quali ci capita tante volte di vedere dei picchi, sorge quindi spontaneo chiedersi: “Chi ha causato questo traffico?”. Attraverso l’integrazione del progetto di Luca sarà quindi possibile avere degli elementi per poter trovare una risposta a questa domanda.
Luca, potresti fornirci una breve presentazione di te?
Luca Deri: Dopo essermi laureato all’università di Pisa in Informatica nel 1993 con una tesi sulla gestione di rete, sono andato a specializzarmi all’estero prima a Londra alla UCL (University College of London) e poi in Svizzera presso IBM Research Zürich dove nel frattempo ho fatto il PhD presso l’università di Berna. In quegli anni ho scritto una parte di un prodotto IBM per la gestione di rete chiamato IBM Workbench/6000 ed ho iniziato a lavorare alla gestione di rete utilizzando interfacce web (il web stava sviluppandosi proprio in quegli anni). Tornato in Italia a metà 1997 ho continuato a lavorare in questo settore e nel 1998 ho dato inizio al progetto ntop, capitalizzando sull’esperienza degli anni precedenti.
Ci puoi spiegare cosa comprende il tuo progetto ntop/nprobe?
Luca Deri: ntop e’ una console di monitoraggio web rilasciata sotto licenza GNU GPL. E’ capace di analizzare il traffico di rete catturandolo da una interfaccia di rete oppure di interpretare opportunamente flussi di rete inviati in formato NetFlow e sFlow da appartati di rete che supportano tali protocolli. Visto però che apparati che supportano NetFlow non sono così comuni, spesso sono costosi e limitati, ho deciso di scrivere il mio probe NetFlow chiamandolo nProbe. Questo mi ha dato modo di far conoscere il progetto ntop anche in ambito commerciale laddove ntop faceva fatica ad entrare. Infatti nProbe si e’ fatto subito apprezzare per la sua velocità, versatilità e capacità di estensioni che le soluzioni commerciali non supportano.
Quali sono seconde te i maggiori vantaggi della tua soluzione?
Luca Deri: Innanzitutto e’ una soluzione che funziona in maniera abbastanza intuitiva, senza dover configurare un solo file di preferenze. Poi è abbastanza unica nel suo genere perché permette di vedere quello che effettivamente passa in rete e non cosa accade sui sistemi di rete. ovvero permette di rispondere a domande tipiche come “chi sta usando la mia rete?”, “chi sta andando sul sito xyz?”, “Chi sta attualmente facendo più traffico?”, senza dover ricorrere a strumenti molto più complessi che hanno alti costi di acquisto e gestione.
Qual è stato il motivo che ti ha spinto ad iniziare questo progetto?
Luca Deri: Principalmente per risolvere un mio problema personale. A quel tempo (era il 1998) avevo una collaborazione con l’università di Pisa durante la quale ero incaricato di monitorare il traffico di rete. Le soluzioni disponibili erano limitate e quindi mi sono scritto il mio tool. Così è nato ntop.
Quanto tempo hai investito in nprobe?
Luca Deri: Molto, diciamo da quando ho iniziato a scriverlo nel 2003, non c’è stata settimana in cui non abbia lavorato, anche in maniera limitata, al progetto. nProbe è nato come preprocessore per ntop, in modo da poter usare ntop anche in reti veloci, dove invece ntop mostrava limiti di performance. Poi nProbe è diventato un progetto autonomo e come dicevo prima è stata la chiave per entrare nel mondo delle aziende.
Quante persone sono attualmente coinvolte?
Luca Deri: nProbe ed ntop intesi come motore li sviluppo principalmente da solo. Poi ho altri due colleghi che stabilmente mi aiutano per sviluppi particolari come nBox, una distribuzione Linux che integra ntop ed nProbe, o per sviluppi verticali come la gestione di grandi flussi di rete. Di tanto in tanto poi si affiancano collaboratori per progetti specifici.
Sei attivo in primo piano a livello italiano o anche partnership internazionali?
Luca Deri: Diciamo che in Italia, purtroppo, non sono molto conosciuto forse anche perché tutto il sito web è in inglese, e questo forse scoraggia molti. Ho fatto molte collaborazioni soprattutto con ditte estere quali NEC, Intel, Agilent, cPacket, Bivio, Endace che usano il mio software in loro prodotti.
Secondo te quali sono le conoscenze necessarie per integrare la tua soluzione in ambienti esistenti?
Luca Deri: Integrare nProbe richiede poca conoscenza visto che produce flussi di rete in formato standard: basta configurare opportunamente le opzioni di esportazione dei dati di traffico. Discorso diverso per ntop, nato come soluzione auto-contenuta che fino a poco tempo fa non era stata pensata per essere integrata come motore di altri programmi. La situazione cambierà a breve quando avrò ultimato una API Python (in corso di sviluppo) che permetterà a programmi esterni di interagire con ntop. Attualmente l’unico modo di utilizzare ntop come programma esterno avviene esportando i dati via HTTP in vari formati come JSON, XML o CSV.
E la tua esperienza con Nagios? Molti utenti nprobe avranno in uso anche Nagios?
Luca Deri: Come molti, ho usato Nagios nel passato per gestire sistemi e servizi di rete. Adesso sto pensando di far si che i dati di traffico prodotti da strumenti come ntop/nprobe possano essere utilizzati per complementare l’analisi di servizi di rete aggiungendo informazioni sul traffico. Il problema principale però resta un altro, ovvero come stabilire quando il traffico di rete diventa sospetto e quindi come impostare le soglie di traffico. Se le soglie sono fisse, una operazione come la copia di un DVD tra due host può produrre un carico di traffico breve con alto volume di dati scambiati e può produrre un allarme (che in realtà non è tale) mentre soglie composte (es. un host negli ultimi cinque minuti invia più traffico di tutti gli altri host) possono non rilevare problemi di rete.
Come è nata la collaborazione con NetEye?
Luca Deri: La scorsa primavera sono stato contattato da Würth Phoenix che mi ha invitato a partecipare alla conferenza su Nagios e NetEye. Questa e’ stata l’occasione per conoscere il prodotto e i suoi sviluppatori. Vista la sinergia di visioni, col tempo abbiamo deciso di iniziare un cammino comune volto ad integrare ntop/nProbe dentro NetEye. Questo nell’ottica di sviluppare una soluzione che valorizzi entrambi i prodotti e supporti lo sviluppo di software open-source.
Dove vedi i vantaggi o i valori aggiunti per gli utenti/clienti di NetEye nell’ambito di questa partnership?
Luca Deri: Il vantaggio principale è che gli utenti di NetEye possono avere visibilità del traffico di rete utilizzando uno strumento open-source sviluppato in Italia ed evoluto continuamente sotto il controllo di chi garantisce loro NetEye. Questo garantirà loro di avere una visione più completa di ciò che succede in rete e quindi di poter rispondere ad eventuali anomalie.
Vedi ancora possibilità di miglioramento nel concetto dell’integrazione di ntop in NetEye?
Luca Deri: Indubbiamente. Questa integrazione e’ appena iniziata. Per il prossimo anno sono previste evoluzioni significative di ntop/nprobe che saranno integrate in NetEye. L’obiettivo di base è di poter offrire agli utenti soluzioni di monitoraggio sempre più sofisticate ed allo stesso tempo facili da usare e non intrusive.
Il mondo Open Source in Italia: esiste più o meno collaborazione fra i vari progetti e concetti in concronto all’estero?
Luca Deri: Personalmente ho pochi contatti con sviluppatori open-source italiani. La maggior parte dei miei contatti sono all’estero, principalmente Svizzera e Stati Uniti, dove invece c’è molta attività in questo campo, almeno limitatamente alla gestione e monitoraggio di rete. Nel nostro paese open-source significa principalmente usare Linux piuttosto che Windows. Non si investe molto in formazione, soprattutto per le pubbliche amministrazioni, che continuano ad erogare fiducia verso soluzioni marcate aperte solo perché funzionano su Linux senza capire che in realtà continuano a finanziare software chiusi. Il risultato è che i progetti open-source si reggono sulle proprie gambe e sulla capacità del leader del progetto di portare avanti gli sviluppi da solo.
Cosa si dovrebbe migliorare in questo contesto?
Luca Deri: Decisamente il mondo open-source ha bisogno dell’industria per rendere i prodotti più vicini alle richieste degli utenti professionali e per supportare lo sviluppo di nuove funzionalità. E l’industria può capitalizzare su quanto fatto nel mondo open-source per sviluppare nuovi prodotti immediatamente maturi, senza dover investire troppe risorse economiche. Quindi penso che incontri, come quello tra ntop e Würth Phoenix, siano la strada giusta per sviluppare prodotti aperti portando un ritorno economico anche alle industrie che su tali prodotti fanno affidamento.
Come vedi nprobe in dieci anni?
Luca Deri: L’idea iniziale è stata quella di produrre uno strumento flessibile, compatibile con i protocolli industriali per il monitoraggio di rete, capace di fornire soluzioni semplici a esigenze di monitoraggio. Nel prossimo futuro nprobe deve essere capace di soddisfare esigenze avanzate di monitoraggio in termini di grandi volumi di dati, nuovi protocolli di rete, e permettere di monitorare nuovi tipi di traffici che si stanno affermando come il cloud computing o i servizi di rete distribuiti.
Luca, grazie per l’intervista.
Georg Kostner
Business Unit Manager at Würth Phoenix
I’m Georg, born in Bolzano in 1971. The IT has always been my true passion: my first computer was a Spectrum, maybe someone still remembers it… the first application I developed on it was the naval combat. Later on I started the implementation of ERP software using C, C++, Java, Informix, Oracle, Unix, Window. Recently I approached the Open Source technologies like Nagios, Cacti, MRTG, NagVis, OCS Inventory, GLPI, ntop with the vision to improve the working activities of the system administrators. In my free time I love hiking in the mountains, skiing, playing football as well as I like comparing different OS like Linux, Windows or Mac trying to find the potentialities and weaknesses.
Author
Latest posts by Georg Kostner
08. 05. 2018
Predictive Analysis
The Future of NetEye
05. 02. 2015
Uncategorized
Nuova Versione EriZone 3.1.7
05. 02. 2015
Uncategorized
EriZone: Neue Version 3.1.7 ab sofort verfügbar
A quanto pare la “funga di cervelli” estiste anche nel mondo virtuale.
E’ paradossale che, nell’ambito dei software di analisi e decodifica del traffico di rete, due progetti italiani quali ntop e xplico abbiamo maggiore appeal e riconoscimento all’estero che non in Italia.
Bella e piacevole intercista.