🥇StealthWatch: анализ и разследване на инциденти. Част 3

Cisco StealthWatch — е аналитично решение в областта на ИБ, което осигурява всеобхватен мониторинг на заплахите в разпределена мрежа. В основата на работа с StealthWatch стои събирането на NetFlow и IPFIX от маршрутизатори, комутатори и други мрежови устройства. В резултат мрежата става чувствителен сензор и позволява на администратора да надникне там, където традиционните методи за защита на мрежата, като следващо поколение защитна стена, не могат да достигнат.

В предишни статии вече писах за StealthWatch: първо представяне и възможности, както и разгръщане и настройка. Сега предлагам да продължим напред и да обсъдим как да работим с алармите и да разследваме инциденти по сигурността, които генерира решението. Ще бъдат представени 6 примера, които, се надявам, ще предоставят добро разбиране за полезността на продукта.

Първо трябва да кажем, че в StealthWatch присъства известно разпределение на сработвания на алгоритми и фийдове. Първите — са различни видове аларми (известия), при които може да се открият подозрителни неща в мрежата. Вторите — са инциденти по сигурността. В тази статия ще бъдат разгледани 4 примера за сработвания на алгоритми и 2 примера за фийдове.

1. Анализ на най-обемните взаимодействия в мрежата

Първоначалната стъпка при настройката на StealthWatch е да се определят хостове и мрежи по групи. В уеб-интерфейса разделът Configure > Host Group Management следва да се разпределят мрежи, хостове, сървъри по съответните групи. Групи могат да се създават и собствено. Между другото, анализът на взаимодействията между хостовете в Cisco StealthWatch е доста удобен, тъй като може не само да се запазват филтри за търсене по потоци, но и самите резултати.

Първо в уеб-интерфейса трябва да влезете в раздела Analyze > Flow Search. След това трябва да зададете следните параметри:

Search Type — Top Conversations (най-популярни взаимодействия)
Time Range — 24 hours (времеви интервал, може да се използва и друг)
Search Name — Top Conversations Inside-Inside (всяко разбираемо име)
Subject — Host Groups → Inside Hosts (източник — група вътрешни узли)
Connection (може да се посочат портове, приложения)
Peer — Host Groups → Inside Hosts (назначение — група вътрешни узли)
В Advanced Options допълнително може да зададете колектор, от който се гледат данните, подредба на изхода (по байтове, потоци и др.). Ще оставя по подразбиране.

След натискане на бутона Търсене се издава списък с взаимодействия, които вече са сортирани по обем на предадените данни.

В моя пример хост 10.150.1.201 (сервер) в рамките на само един поток е предал 1.5 Гб трафик на хост 10.150.1.200 (клиент) по протокол mysql. Бутонът Управление на колони позволява да добавите повече колони в изходящите данни.

След това, по усмотрение на администратора, може да се създаде персонализирано правило, което ще сработи постоянно на такъв вид взаимодействия и ще уведомява по SNMP, email или Syslog.

2. Анализ на най-бавните клиент-серверни взаимодействия в мрежата по отношение на закъснения

Марки SRT (Време за отговор на сървъра), RTT (Време за обиколка) позволяват да се установят закъсненията на сървърите и общите закъснения в мрежата. Този инструмент е особено удобен, когато е необходимо бързо да се намери причината за оплакванията на потребителите относно бавно работещо приложение.

Забележка: практически всички Netflow експортъри не умеят да изпращат марки SRT, RTT, затова често, за да видите такива данни на FlowSensor, трябва да настроите изпращането на копие на трафика от мрежовите устройства. FlowSensor от своя страна предава разширен IPFIX на FlowCollector.

Тази аналитика е по-удобна за извършване в java приложението StealthWatch, което се инсталира на компютъра на администратора.

С десния бутон на мишката на Inside Hosts и минаваме към таба Flow Table.

Натискаме на Филтър и задаваме необходимите параметри. Например:

Дата/Час — За последните 3 дни
Представяне — Средно време за обиколка >=50ms

След извеждане на данните е необходимо да добавите интересуващите ни полета RTT, SRT. За целта трябва да натиснете на колоната на скрийншота и с десния бутон на мишката да изберете Управление на колони. След това да кликнете по параметрите RTT, SRT.

След обработка на заявката, сортирах по RTT средно и видях най-бавните взаимодействия.

За да преминете към детайлна информация, трябва да натиснете с десния бутон на мишката върху потока и да изберете Бърз преглед за Flow.

Тази информация показва, че хостът 10.201.3.59 от групата Продажби и маркетинг по протокол NFS прави запитване към DNS сървъра за времето на една минута и 23 секунди и има просто ужасно закъснение. В таба Интерфейси може да разберете, от кой Netflow експортър е получена информацията. В таба Таблица е изобразена по-подробна информация за взаимодействието.

Следва да се установи, кои устройства изпращат трафик към FlowSensor и проблемът вероятно се крие там.

Освен това, StealthWatch е уникален с това, че провежда дедупликация надежно събиране на данни (обединява едни и същи потоци). Следователно, можете да събирате практически от всички устройства Netflow, без страх от много повторяващи се данни. Напротив, в распорежението, това помага да се разбере на кой именно хоп са най-големите закъснения.

3. Одит на криптографските протоколи HTTPS

ETA (Encrypted Traffic Analytics) е технология, разработена от Cisco, която позволява откритие на злонамерени връзки в криптирания трафик без разшифроване. Освен това, тази технология позволява “разбор” на HTTPS по версии TLS и криптографски протоколи, използвани при връзките. Тази функционалност е особено полезна, когато трябва да се открият мрежови възли, използващи слаби криптостандарти.

Забележка: предварително трябва да се инсталира мрежово приложение на StealthWatch — ETA Cryptographic Audit.

Преминаваме на таба Dashboards → ETA Cryptographic Audit и избираме групата хостове, която ще анализираме. За обща представа, ще изберем Inside Hosts.

Може да се наблюдава, че се изписват версията TLS и съответният криптографски стандарт. Както обикновено, в колоната Действия преминаваме на View Flows и започва търсене в нов таб.

От изхода личи, че хостът 198.19.20.136 в течение на 12 часа е използвал HTTPS с TLS 1.2, където алгоритъмът на криптиране AES-256 и хеш-функцията SHA-384. Така, ЕТА позволява откритие на слаби алгоритми в мрежата.

4. Анализ на аномалии в мрежата

Cisco StealthWatch може да разпознава аномалии в трафика в мрежата, използвайки три инструмента: Core Events (сигнали за сигурност), Relationship Events (сигнали за взаимодействия между сегменти, възли в мрежата) и поведенчески анализ.

Поведенческият анализ, от своя страна, позволява с течение на времето да се изгражда модел на поведение за определен хост или група хостове. Колкото повече трафик преминава през StealthWatch, толкова по-точно ще бъдат реакциите благодарение на този анализ. Поначало системата много греши, затова правилата трябва да се “настройват” ръчно. Препоръчвам в първите няколко седмици да не обръщате внимание на такива събития, тъй като системата сама ще се настрои, или да добавяте в изключения.

По-долу е даден пример на предварително зададено правило Аномалия, при което се указва, че събитието ще сработи без аларма, ако хост в групата Вътрешни Хостове взаимодейства с групата Вътрешни Хостове и в рамките на 24 часа трафикът надвиши 10 мегабайта.

Например, вземаме аларм Събиране на данни, което означава, че даден хост източник/назначение е изтеглил/качил аномално голямо количество данни от група хостове или хост. Кликнете върху събитието и преминете в таблицата, където са посочени хостовете, предизвикващи тригерите. След това изберете интересния за нас хост в колоната Събиране на данни.

Извежда се събитие, което гласи, че са открити 162к “точки”, а по политиката е разрешено 100к “точки” — това са вътрешни метрики на StealthWatch. В колоната Действия кликнете View Flows.

Можем да наблюдаваме, че този хост през нощта взаимодействал с хост 10.201.3.47 от отдела Продажби и маркетинг по протокол HTTPS и свали 1.4 Гб. Може би този пример не е най-удачният, но откритията на взаимодействия и за стотици гигабайти се извършва по същия начин. Следователно, по-нататъшното разследване на аномалии може да доведе до интересни резултати.

Забележка: в уеб интерфейса SMC данните във вкладките Табла се извеждат само за последната седмица и във вкладката Монитор за последните 2 седмици. За да анализирате събития от по-древно време и за генериране на отчети, трябва да работите с java консолата на компютъра на администратора.

5. Откриване на вътрешни сканирания на мрежата

Сега разгледайте няколко примера за фийдове — инциденти ИБ. Тази функционалност е по-интересна за специалистите по сигурността.

Предустановените типове събития за сканиране в StealthWatch са няколко:

Сканиране на портове — източникът сканира множество портове на целевия хост.
Сканиране на Addr tcp — източникът сканира цяла мрежа на един и същ TCP порт, като променя IP адреса на целта. При това източникът получава TCP Reset пакети или не получава отговори изобщо.
Сканиране на Addr udp — източникът сканира цяла мрежа на един и същ UDP порт, като променя IP адреса на целта. При това източникът получава ICMP Port Unreachable пакети или не получава отговори изобщо.
Сканиране с Ping — източникът изпраща ICMP запитвания към цяла мрежа с цел намиране на отговори.
Сканиране с Stealth tсp/udp — източникът използва един и същ свой порт, за да се свърже с множество портове на целевия хост по едно и също време.

За по-удобно намиране на всички вътрешни скенери съществува приложение за мрежата за StealthWatch — Оценка на видимостта. Като преминете в раздела Табла → Оценка на видимостта → Вътрешни скенери на мрежата ще видите инциденти по сигурността, свързани със сканирането, през последните 2 седмици.

Като натиснете бутона Подробности, ще бъде видно началото на сканирането на всяка мрежа, тенденция на трафика и съответните аларми.

След това можем да “задълбаем” в хоста от таба на предишния екран и да видим събитията по сигурността, както и активността за последната седмица за този хост.

Като пример ще анализираме събитие Сканиране на порт от хоста 10.201.3.149 на 10.201.0.72, натискайки на Действия > Свързани потоци. Започва търсене по потоките и излиза релевантна информация.

Както виждаме, този хост от един от своите портове 51508/TCP е сканирал целевия хост преди 3 часа по портове 22, 28, 42, 41, 36, 40 (TCP). Някои полета не показват информация, или защото не всички полета Netflow се поддържат от Netflow експортера.

6. Анализ на изтеглените зловредни софтуери с CTA

CTA (Cognitive Threat Analytics) — облачна аналитика на Cisco, която отлично се интегрира с Cisco StealthWatch и позволява да се допълни безсигнатурният анализ със сигнатурен. Така става възможно откриването на трояни, мрежови червеи, зловреден софтуер от нулев ден и други зловредни и тяхното разпространение в мрежата. Освен това вече спомената технология ETA позволява анализ на такива зловредни комуникации и в криптиран трафик.

На самия първи таб в уеб интерфейса има специален виджет Cognitive Threat Analytics. Кратък преглед показва откритите заплахи на потребителските хостове: троян, мошенически софтуер, натрапчив софтуер. Думата “Криптиран” точно свидетелства за работата на ETA. Натискайки на хоста, се изброява цялата информация, събития по сигурността, включително логовете по CTA.

Като менюваме върху всеки етап на CTA, събитията излизат с подробна информация за взаимодействията. За пълна аналитика е добре да натиснете Преглед на детайлите за инцидента, и ще попаднете в отделна конзола. Cognitive Threat Analytics.

В горния десен ъгъл филтърът позволява да се показват събития по ниво на критичност. Като менюваме върху конкретна аномалия, в долната част на екрана се появяват логове с относящата се времева линия вдясно. По този начин специалистът от отдела за информационна сигурност ясно разбира кой заразен хост след какви действия е започнал да извършва какви действия.

По-долу е показан още един пример — банков троян, с който е заразен хост 198.19.30.36. Този хост е започнал взаимодействие със зловредни домейни, а в логовете е показана информация по потоките на тези взаимодействия.

Следващото отлично решение, което може да бъде, е да поставите хостинга в карантина благодарение на нативната интеграция с Cisco ISE за последващо лечение и анализ.

Заключение

Решението Cisco StealthWatch е едно от водещите на пазара за мониторинг на мрежи, както в анализ на мрeжата, така и в информационната сигурност. То позволява откриване на нелегитимни взаимодействия в мрежата, забавяния на приложенията, най-активните потребители, аномалии, злонамерен софтуер и APT. Освен това, можете да откривате сканирания, пентестове и да извършвате криптоаудит на HTTPS трафика. Още примери за използвания можете да намерите в връзката.

Ако желаете да проверите колко безпроблемно и ефективно работи мрежата ви, изпратете заявка.
В близките дни планираме още няколко технически публикации относно различни продукти за информационна сигурност. Ако ви интересува тази тема, следете новините в нашите канали (Телеграм, Facebook, VK, TS Solution Blog)!

Източник: habr.com