在 Linux 上監控 Palo Alto 防火牆 Session 狀態

在許多企業環境中，監控防火牆的 Session 狀態對於確保網路安全與效能至關重要。若您希望在不安裝 Panorama 或其他網管軟體的情況下，自行架設監控機制，以下將介紹如何在 Linux Server 上撰寫腳本來達成此目的。

1. Palo Alto 防火牆的 Session 狀態

Palo Alto 防火牆的 Session 主要分為兩大類狀態：

• 穩定狀態（Stable States）：這些狀態通常在 Session 的生命週期中出現較長時間，並且在 Session 表中最常見：
• INIT：每個 Session 初始時的狀態，處於「空閒池」中，尚未被分配。
• ACTIVE：當 Session 匹配特定的流量並已進行檢查和轉發時，會進入此狀態。
• DISCARD：當流量匹配到 Session，但由於安全策略被拒絕或檢測到威脅時，Session 會進入此狀態。
• 過渡狀態（Transient States）：這些狀態通常在 Session 生命週期中出現較短時間，並且在 Session 表中較少見：
• OPENING：Session 從「空閒池」中分配出來，但尚未安裝到流查找表和老化器中。
• CLOSING：Session 被設置為立即過期，但尚未從老化過程中移除，也未從流查找表中移除。
• CLOSED：Session 已過期並從老化過程中移除，但尚未從流查找表中移除。
• FREE：Session 已從老化過程和流查找表中移除，但尚未返回「空閒池」。

每個 Session 都會經歷這些狀態，並依據流量的特性和防火牆的設定進行轉換。

2. 在 Linux 上撰寫監控腳本

為了定期收集防火牆的 Session 資料，您可以在 Linux Server 上撰寫腳本，透過 SSH 連線至防火牆，執行相關指令，並將結果儲存至本地檔案。

以下是一個簡單的 Bash 腳本範例：

#!/bin/bash

# 防火牆的 IP 位址與管理帳號
FIREWALL_IP="192.168.1.1"
USER="admin"
PASS="password"

# 連線並執行指令
sshpass -p $PASS ssh -o StrictHostKeyChecking=no $USER@$FIREWALL_IP "show session all" > /path/to/save/sessions_$(date +\%Y\%m\%d\%H\%M\%S).txt

此腳本會將 `show session all` 的輸出結果儲存至指定路徑，並以時間戳記命名檔案。您可以透過 Cron 設定定期執行此腳本。

或是你只要看穩定狀態的話，就只要執行以下三個指令

show session all filter state active
show session all filter state init
show session all filter state discard

Session官方說明

3. 資料視覺化與報表系統設計

為了更直觀地分析 Session 資料，您可以將收集到的資料匯入至資料庫（如 MySQL 或 PostgreSQL），並使用工具（如 Grafana）進行視覺化呈現。

以下是設計流程的簡要步驟：

1. 資料收集：使用上述腳本定期收集 Session 資料。
2. 資料儲存：將收集到的資料匯入至資料庫。
3. 資料視覺化：使用 Grafana 等工具，連接資料庫，設計儀表板，顯示 Session 的各項指標。
4. 報表產生：設定定期生成報表，並透過電子郵件發送給相關人員。

這樣的系統可以幫助您實時監控防火牆的狀態，並在異常情況發生時，及時採取措施。

4. 發送電子郵件的範例

為了在特定情況下（如 Session 數量異常）發送通知，您可以在腳本中加入發送電子郵件的功能。以下是一個使用 `mail` 指令發送電子郵件的範例：

#!/bin/bash

# 檢查 Session 數量
SESSION_COUNT=$(grep -c "ACTIVE" /path/to/sessions.txt)

# 設定閾值
THRESHOLD=1000

# 如果 Session 數量超過閾值，發送電子郵件
if [ $SESSION_COUNT -gt $THRESHOLD ]; then
    echo "目前有 $SESSION_COUNT 個活躍的 Session，超過設定的閾值 $THRESHOLD。" | mail -s "Session 警告" admin@example.com
fi

此腳本會檢查 Session 數量，如果超過設定的閾值，則發送電子郵件通知管理員。

結論

透過在 Linux Server 上撰寫腳本，您可以在不安裝 Panorama 或其他網管軟體的情況下，定期收集 Palo Alto 防火牆的 Session 資料，並進行分析與報表產生。結合資料視覺化工具，您可以更直觀地監控防火牆的狀態，確保網路的安全與效能。

深入剖析 Cisco Cyber Vision 感測器從流量擷取、邊緣處理到傳輸至 Cyber Vision Center 的通訊協定與實作細節，並提供部署建議。

Cisco Cyber Vision 解決方案中感測器至中心資料傳輸通訊協定深度剖析

1. 導論與核心架構概覽

1.1 查詢問題與專家解讀

關於 Cisco Cyber Vision 解決方案中，從 Cisco 交換器接收資料後傳送至 Cyber Vision 系統所使用的通訊協定，這是一個針對營運技術（OT）網路監控架構的關鍵技術問題。該查詢看似簡單，但其核心在於對 Cisco Cyber Vision 獨特「邊緣監控架構」（unique edge monitoring architecture）的理解。該架構的設計與傳統網路監控模型截然不同，因此無法用單一通訊協定名稱概括。

本報告旨在透過深入剖析整個資料流的生命週期，從流量擷取、邊緣處理，到最終的資料傳輸，提供一個全面且準確的技術解答。分析將明確界定兩個獨立但相互關聯的階段：首先，Cisco 交換器如何將工業網路流量複製給內嵌的 Cyber Vision 感測器；其次，感測器如何將處理後的資料安全地傳輸給 Cyber Vision Center。透過這種分層解構，可以揭示該解決方案在設計上為克服 OT 環境挑戰而採取的策略性選擇。

1.2 Cisco Cyber Vision 的獨特邊緣監控架構

Cisco Cyber Vision 解決方案的核心優勢在於其創新的雙層架構。該架構由以下兩個主要部分組成：

• 感測器（Sensors）： 這些感測器並非獨立的硬體設備，而是被「內嵌」（built into）於選定的 Cisco 工業網路設備中，例如 Cisco IC3000 工業計算閘道器、Cisco Catalyst IE3300/3400/9300 系列交換器等。感測器在網路流量的源頭——即 OT 設備的連接點——運行，並在本地執行繁重的處理任務，包括深度封包檢測（DPI）、協議分析與入侵偵測。
• 中心（Cyber Vision Center）： 中心是一個中央化的聚合平台，可部署為實體硬體設備或 VMware 虛擬機。它的主要職責是從所有感測器接收資料，並提供一個統一的介面，用於資料儲存、分析、行為分析、報告生成以及使用者介面功能。

這種「邊緣計算」架構的關鍵優勢在於其極高的效率。感測器在網路邊緣對工業流量進行解碼和分析，僅將經過精煉、高度壓縮的「輕量級中繼資料」（lightweight metadata）發送給中心。這大大減少了對工業網路頻寬的消耗，根據資料，僅增加 2% 到 5% 的網路負載。這種設計從根本上解決了在頻寬受限的 OT 環境中部署大規模監控方案的挑戰。

1.3 報告範圍界定：釐清資料流的兩大階段

為了解答使用者問題，必須將資料流的整個過程區分為兩個截然不同的階段。混淆這兩個階段會導致對整個解決方案運作原理的誤解。

1. 第一階段：流量擷取（Traffic Acquisition）： 這是指 Cisco 交換器將 OT 網路中的原始封包流量複製給內嵌的 Cyber Vision 感測器應用程式的過程。這個階段不涉及應用層的資料傳輸，而是利用網路交換器內建的流量複製功能。
2. 第二階段：資料傳輸（Data Transmission）： 這是指感測器在本地處理、分析原始流量後，將其生成的輕量級中繼資料傳輸給遠端 Cyber Vision Center 的過程。這才是本報告的核心探討點，涉及的是應用層通訊協定。

這種兩階段的設計模式，是 Cisco Cyber Vision 區別於許多傳統網路監控工具的關鍵。它將繁重的處理任務從核心網路轉移到了邊緣設備，從而將「傳輸原始流量」的模式轉變為「傳輸情報」的模式，這使得解決方案能夠在 OT 環境中實現高效、可擴展的部署。

2. 資料流機制與邊緣處理

2.1 流量擷取：從工業網路到內嵌感測器

在第一個階段，Cisco 交換器會利用其內建的流量複製技術，將工業網路中的原始流量「複製」一份給內嵌的感測器應用。常見的流量複製方法包括：

• SPAN (Switched Port Analyzer)： 這是一種本地流量鏡像技術，在單一交換器上，將一個或多個來源埠（Source Port）或 VLAN 的所有流量複製到一個目標介面（Destination Interface）。這種方法適用於感測器和監控設備位於同一台交換器上的情況。
• RSPAN (Remote Switched Port Analyzer)： RSPAN 允許跨多個交換器進行流量複製。它透過專用的 RSPAN VLAN，將來源交換器上的流量複製到該 VLAN 中，並在目標交換器上透過一個埠將流量轉發給監控設備。
• ERSPAN (Encapsulated Remote Switched Port Analyzer)： ERSPAN 是最進階的遠端流量複製方法，它將被複製的流量封裝在 Layer 3 協定（通常是 GRE）的封包中。這種方式使得流量複製可以跨越路由邊界，將來自不同站點的工業流量匯聚到中央的監控平台。文獻指出，Cisco Cyber Vision 感測器支援在 Catalyst 9300/9400 等設備上使用 ERSPAN。

這些流量擷取技術，是確保感測器能夠「看到」 OT 網路中所有流量的基礎。然而，它們本身並非感測器與中心之間的通訊協定。

表一：流量擷取技術比較

技術名稱	工作層次	核心機制	主要優勢	Cyber Vision 應用
SPAN	Layer 2	本地埠鏡像	簡單、低開銷	感測器與流量源在同一交換器上的本地部署
RSPAN	Layer 2	遠端 VLAN 鏡像	跨交換器、靈活	跨 Layer 2 網路的多交換器部署
ERSPAN	Layer 3	遠端 GRE 封裝	跨路由、多站點	跨 Layer 3 網路的多站點集中監控部署

2.2 感測器的邊緣處理能力

在感測器接收到複製的原始流量後，並不會直接將其轉發。這是 Cisco Cyber Vision 架構的關鍵所在。感測器內建的引擎會立即對流量進行深度處理。

• OT 協議解碼：感測器能夠理解和解碼數百種工業控制協議，例如 EtherNet/IP、S7、Profinet 等。這種能力使其能夠從流量中提取出豐富的應用層上下文，例如資產屬性、韌體版本、PLC 程式修改、變數變化等。
• 中繼資料生成：經過深度分析後，感測器會捨棄原始的、龐大的封包資料，僅生成並保留輕量級、結構化的「中繼資料」（metadata）。這些中繼資料包含了資產清單、通訊模式、漏洞資訊、安全事件等核心情報，這使得最終傳輸給中心的資料量極小，避免了對工業網路造成過載。

這種從「原始流量」到「精煉情報」的模式轉變，是 Cisco Cyber Vision 在 OT 網路中取得成功的基礎。它將傳統方案中所需的龐大網路頻寬需求轉變為輕量的資料傳輸，從而使其能夠在 OT 環境中實現低成本、高效率的規模化部署。

3. 感測器至中心的核心通訊協定分析

3.1 核心通訊協定：基於 HTTPS/TLS 的 API 傳輸

根據對 Cisco Cyber Vision 解決方案的技術文檔與開發者 API 文件的分析，可以明確指出，感測器將其分析後生成的輕量級中繼資料傳輸給 Cyber Vision Center 所使用的核心通訊協定是 HTTPS/TLS。

這種通訊機制是基於 RESTful API 的模型。感測器透過加密的 HTTPS 連線，向 Cyber Vision Center 的特定 API 端點發送資料。文獻中展示的 curl 和 Python requests 程式碼範例，均明確使用了 https:// URL 並發送 POST 請求，這直接證明了其底層通訊機制的運作方式。傳輸的資料內容是結構化的中繼資料，而非原始的網路封包。HTTPS 協定本身提供了傳輸層安全（TLS），確保了資料在傳輸過程中的加密與完整性。這對於傳輸敏感的 OT 資產資訊至關重要，可有效防範資料在途中被竊聽或篡改。

3.2 傳輸協定與流量監控協定的區別：為何不是 NetFlow/IPFIX？

傳統上，在 IT 網路中，流量監控常依賴於 NetFlow 或其標準化演進版本 IPFIX。這些協議主要用於收集 Layer 3 和 Layer 4 的流量資訊，如來源/目的 IP 位址、埠號、協議類型、封包與位元組計數等，它們能回答「誰在跟誰通訊」的問題。

然而，Cisco Cyber Vision 的目標遠超於此。它旨在提供深層次的 OT 安全洞察，例如識別特定的工業協議通訊模式、監控 PLC 程式的修改、偵測工業變數的異常變化等。這些豐富的 OT 上下文資訊無法透過標準的 NetFlow/IPFIX 欄位來傳輸。因此，Cisco Cyber Vision 的設計選擇是放棄 NetFlow/IPFIX，轉而採用更為靈活、可擴展的基於 API 的傳輸模型。這種設計使得該解決方案能夠傳輸任何自定義的數據類型，並隨著新的 OT 協議和安全情報的出現而輕鬆更新，從而專注於提供真正具備安全價值的「情報」而非單純的「流量統計」。

3.3 特定功能使用的輔助協定：TUS 協議的應用

儘管主要傳輸協定是基於 HTTPS 的 API，但 Cisco Cyber Vision 在處理特殊資料類型時，也會採用其他優化的協定。一個值得關注的例子是 PCAP 檔案上傳功能。Cisco 的開發者文檔明確指出，用於上傳新的 PCAP 檔案的 API 端點使用了 TUS 協議。

TUS（The Upload Server）是一種基於 HTTP 的可續傳上傳協定。它的應用表明，當需要處理大型檔案（如完整的網路封包擷取檔）時，Cisco 選擇了最適合該任務的協定。TUS 具備斷點續傳的能力，即使網路連線中斷，上傳也能從中斷處恢復，這對於可能因網路不穩定而導致長傳輸失敗的工業環境而言，提供了額外的彈性和可靠性。這種根據不同用途採用最優協議的設計，體現了產品在實際運維場景中的務實考量。

表二：Cisco Cyber Vision 核心資料流路徑

階段	關鍵技術/組件	數據形式	主要通訊協定
1. 流量擷取	Cisco 交換器 (SPAN/RSPAN/ERSPAN)	原始 OT 流量	埠鏡像技術 (非應用層協議)
2. 邊緣處理	Cyber Vision 感測器應用	輕量級中繼資料	無 (本地處理)
3. 資料傳輸	感測器 → Cyber Vision Center	結構化數據 (如 JSON)	HTTPS/TLS (主要), TUS (特定上傳)

4. 資料傳輸的安全性與實施細節

4.1 傳輸層安全：TLS 加密與認證

感測器與中心之間的通訊傳輸的是敏感的 OT 網路資訊，因此傳輸層的安全性至關重要。HTTPS/TLS 協定是實現這一安全目標的基石。TLS 提供了多重保護：

• 資料加密：確保所有傳輸的資料在網路上以加密形式存在，防止未經授權的第三方竊聽或分析資料流。
• 伺服器認證：透過數位憑證，感測器能夠驗證所連線的 Cyber Vision Center 是否為合法伺服器，防止中間人攻擊。雖然在初始部署時，可能會使用自簽名證書，但這是為了在安全連線建立前進行初始配置。
• API Token 認證：除了 TLS 加密，感測器還需使用預先配置的 API Token 進行身分驗證，以確保只有獲得授權的感測器才能向中心發送資料。

4.2 網路與防火牆配置的最佳實踐

為了確保安全且高效的通訊，Cisco Cyber Vision Center 的硬體設計本身就遵循了資安的最佳實踐。

• 專用網路介面：Cyber Vision Center 設備配置了兩個專用且分離的 10 Gigabit Ethernet 網路埠：一個是「Administration network interface」（eth0），用於使用者透過瀏覽器存取管理介面；另一個是「Collection network interface」（eth1），專門用於與感測器通訊。
• 實施網路分區：這種物理上的網路分離，強烈建議在邏輯上將感測器所在的 OT 監控網路與管理人員使用的 IT 網路進行嚴格的隔離。透過在網路邊界部署防火牆，並僅允許必要的通訊埠（如用於 HTTPS 的 TCP/443）在感測器與中心之間通訊，可以顯著降低橫向移動的風險，並將攻擊面縮小到最低。這種設計是「最小權限」與「零信任」安全模型在實體網路層面的具體應用。

5. 結論與專業建議

5.1 總結核心發現

綜合上述分析，Cisco Cyber Vision 解決方案中，從 Cisco 交換器到 Cyber Vision Center 的資料傳輸是一個分階段且經過精心設計的過程。首先，交換器透過 SPAN/RSPAN/ERSPAN 等技術將原始 OT 網路流量複製給內嵌的感測器應用。隨後，感測器在邊緣執行深度封包檢測，將龐大的原始流量轉換為輕量級的「中繼資料」。最終，這些中繼資料透過基於 HTTPS/TLS 的安全 API 傳輸給 Cyber Vision Center。對於需要上傳大型檔案（如 PCAP）的特殊場景，該解決方案則採用了 TUS 協議以確保傳輸的可靠性。

這種架構的關鍵在於其專為 OT 環境優化的核心特性：輕量級、安全、可擴展且不對網路造成過重負擔。它將繁重的處理任務從網路核心轉移到邊緣，從而將資料流從「頻寬消耗」模式轉變為「安全情報傳輸」模式。

5.2 對網路工程師與 OT 專家的建議

• 部署前準備：在部署感測器之前，務必確保感測器與中心之間的管理網路具備連線能力，並檢查防火牆規則是否允許必要的通訊。同時，精準的時間同步（NTP）對於事件關聯和分析至關重要。
• 善用邊緣能力：感測器本身具備強大的本地分析能力。在進行故障排除時，可以利用內建工具（如 tcpdump）在本地擷取流量，進行初步分析，無需將所有資料都傳送至中心。
• 實施網路分區：充分利用 Cyber Vision Center 專用的「Collection」網路介面，將 OT 監控網路與 IT 管理網路進行物理或邏輯上的分區，並配置嚴格的防火牆策略，這是提升整體解決方案安全性的關鍵。
• 融合 IT/OT 安全：Cyber Vision 能夠生成豐富的 OT 資產、通訊、事件和漏洞上下文資訊。建議將這些中繼資料與 IT 的安全資訊與事件管理（SIEM）平台（如 IBM QRadar 或 Splunk）進行無縫整合。這將實現 IT 與 OT 領域的事件關聯與統一的威脅分析，構建一個真正統一的 IT/OT 安全營運中心。