je analytické řešení v oblasti kybernetické bezpečnosti, které poskytuje komplexní monitorování hrozeb v distribuované síti. Jeho fungování je založeno na sběru NetFlow a IPFIX z routerů, přepínačů a dalších síťových zařízení. Díky tomu se síť stává citlivým senzorem a umožňuje administrátorovi nahlédnout tam, kam se nedostanou tradiční metody ochrany sítě, jako je například Firewall nové generace.
V předchozích článcích jsem již psal o StealthWatch: , a také . Nyní navrhuji pokročit dál a prodiskutovat, jak správně pracovat s alarmy a vyšetřovat bezpečnostní incidenty, které toto řešení generuje. Budou uvedeny 4 příklady, které, doufám, poskytnou dobrý přehled o užitečnosti produktu.
Nejprve je třeba říct, že ve StealthWatch je určité rozdělení událostí na algoritmy a feedy. První jsou různé alarmy (oznámení), při jejichž aktivaci lze odhalit podezřelé věci v síti. Druhé jsou bezpečnostní incidenty. V tomto článku bude diskutováno o 4 příkladech aktivace algoritmů a 2 příkladech feedů.
1. Analýza nejobjemnějších interakcí v síti
Prvním krokem při nastavování StealthWatch je definice hostitelů a sítí podle skupin. V webovém rozhraní je záložka Configure > Host Group Management , kde je třeba rozdělit sítě, hostitele a servery do odpovídajících skupin. Skupiny si lze také vytvářet vlastní. Mimochodem, analýza interakcí mezi hostiteli v Cisco StealthWatch je velmi pohodlná, protože lze nejen uchovávat filtry vyhledávání podle toků, ale také samotné výsledky.
Nejprve je dobré se v webovém rozhraní dostat na záložku Analyze > Flow Search. Následně je třeba nastavit následující parametry:
- Search Type — Top Conversations (nejpopulárnější interakce)
- Time Range — 24 hours (časový úsek, lze použít jiný)
- Search Name — Top Conversations Inside-Inside (jakýkoli srozumitelný název)
- Subject — Host Groups → Inside Hosts (zdroj — skupina vnitřních uzlů)
- Connection (lze uvést porty, aplikace)
- Peer — Host Groups → Inside Hosts (cílová skupina — skupina vnitřních uzlů)
- V Advanced Options lze dodatečně uvést kolektor, ze kterého se data zobrazují, třídění výstupu (podle bajtů, toků atd.). Nechám to jako výchozí.
Po stisknutí tlačítka Hledat je vydán seznam interakcí, které byly již seřazeny podle objemu přenesených dat.
V mém příkladu hostitel 10.150.1.201 (server) v rámci pouze jednoho vlákna předal 1,5 GB provoz na hostitele 10.150.1.200 (klientovi) pomocí protokolu mysql. Tlačítko Spravovat sloupce umožňuje přidat více sloupců do výstupních dat.
Další na uvážení administrátora je vytvořit vlastní pravidlo, které se bude spouštět neustále na takové interakce a informovat přes SNMP, e-mail nebo Syslog.
2. Analýza nejpomalejších klient-server interakcí v síti ohledně zpoždění
Štítky SRT (Server Response Time), RTT (Round Trip Time) umožňují zjistit zpoždění serverů a celková zpoždění v síti. Tento nástroj je obzvlášť užitečný, když je potřeba rychle najít příčinu stížností uživatelů na pomalu fungující aplikaci.
Poznámka: prakticky všichni Netflow exportéři neumějí odesílat štítky SRT, RTT, proto je často nutné, aby viděli taková data na FlowSensor, nastavit odesílání kopie provozu z síťových zařízení. FlowSensor na druhou stranu poskytuje rozšířený IPFIX do FlowCollector.
Tuto analýzu je pohodlnější provádět v java aplikaci StealthWatch, která se instaluje na počítači administrátora.
Pravým tlačítkem myši na Inside Hosts a přejděte na kartu Flow Table.
Klikněte na Filtr a nastavte potřebné parametry. Jako příklad:
- Datum/Čas — za poslední 3 dny
- Výkon — Průměrný Round Trip Time >=50ms
Po vyvedení dat je třeba přidat zajímavé RTT, SRT pole. K tomu je třeba kliknout na sloupec na screenshotu a pravým tlačítkem vybrat Spravovat sloupce. Dále kliknout na parametry RTT, SRT.
Po zpracování požadavku jsem seřadil podle průměrného RTT a uviděl nejpomalejší interakce.
Abych se dostal k podrobným informacím, je třeba kliknout pravým tlačítkem na tok a vybrat Rychlý pohled na tok.
Tyto informace ukazují, že hostitel 10.201.3.59 ze skupiny Sales and Marketing protokol, NFS se obrací na DNS server po dobu jedné minuty a 23 sekund a má naprosto hrozné zpoždění. Na kartě Interfaces se můžete dozvědět, z jakého Netflow exportéru byly data získána. Na kartě Table je uvedena podrobnější informace o interakci.
Dále je třeba zjistit, která zařízení odesílají provoz na FlowSensor a problém je pravděpodobně tam.
Kromě toho je StealthWatch unikátní tím, že provádí deduplikaci dat (spojuje stejné toky). Proto je možné shromažďovat téměř ze všech zařízení Netflow a nebát se, že bude mnoho duplicitních dat. Naopak, v tomto schématu to pomůže pochopit, na kterém hopu jsou nejvyšší zpoždění.
3. Audit kryptografických protokolů HTTPS
ETA (Encrypted Traffic Analytics) — technologie vyvinutá společností Cisco, která umožňuje detekovat zlovolná připojení v šifrovaném provozu bez jeho dešifrování. Navíc tato technologie umožňuje "rozebrat" HTTPS na verze TLS a kryptografické protokoly používané při připojeních. Tato funkce je obzvlášť užitečná, když je třeba odhalit síťové uzly, které používají slabé kryptostandardy.
Poznámka: předtím je třeba nainstalovat aplikaci na StealthWatch — ETA Audity Cryptografie.
Přejdeme na záložku Dashboards → Eta Audity Cryptografie a vybereme skupinu hostitelů, kterou plánujeme analyzovat. Pro celkový obraz zvolíme Inside Hosts.
Můžeme pozorovat, že jsou vypsána verze TLS a odpovídající kryptostandard. Podle známého schématu v sloupci Akce přejdeme na View Flows a zahájí se hledání v novém okně.
Z výstupu je vidět, že hostitel 198.19.20.136 během 12 hodin používal HTTPS s TLS 1.2, kde šifrovací algoritmus AES-256 a hashovací funkce SHA-384. Takto ETA umožňuje najít slabé algoritmy v síti.
4. Analýza anomálií v síti
Cisco StealthWatch dokáže rozpoznávat anomálie provozu v síti pomocí tří nástrojů: Core Events (bezpečnostní události), Relationship Events (události interakcí mezi segmenty, uzly sítě) a behaviorální analýza.
Behaviorální analýza pak umožňuje v průběhu času vytvořit model chování pro určitého hostitele nebo skupinu hostitelů. Čím více provozu prochází StealthWatch, tím přesnější budou vyvolání díky této analýze. Na začátku systém mnoho chybných spouštění, takže pravidla je třeba "doladit" ručně. Doporučuji první týdny nevěnovat pozornost takovým událostem, protože se systém sám přizpůsobí, nebo je přidávat do výjimek.
Níže je uveden příklad přednastaveného pravidla Anomaly, ve kterém se uvádí, že událost se spustí bez alarmu, pokud hostitelský počítač ve skupině Inside Hosts interaguje se skupinou Inside Hosts a za 24 hodin provoz překročí 10 megabajtů.
Jako příklad vezmeme alarm Hromadění dat, což znamená, že nějaký hostitelský zdroj / určení stáhl / nahrál abnormálně velké množství dat z skupiny hostitelů nebo hostitele. Klikněte na událost a dostanete se do tabulky, kde jsou uvedeni spouštěcí hostitelé. Dále si vybereme zajímající hostitele v sloupci Hromadění dat.
Zobrazí se událost, která říká, že bylo detekováno 162k “bodů”, přičemž podle politiky je povoleno 100k “bodů” — to jsou interní metriky StealthWatch. V sloupci Akce klikněte View Flows.
Můžeme pozorovat, že tento hostitel v noci interagoval s hostitelem 10.201.3.47 z oddělení Prodej a marketing protokol, HTTPS a stáhl 1,4 GB. Možná, že tento příklad není úplně ideální, ale detekce interakcí a na několik stovek gigabajtů probíhá přesně stejným způsobem. Následně může další vyšetřování anomálií přinést zajímavé výsledky.
Poznámka: v webovém rozhraní SMC se data na kartách Nástěnky zobrazují pouze za poslední týden a na kartě Monitor za poslední 2 týdny. Pro analýzu starších událostí a generování zpráv je třeba pracovat s java konzolí na počítači administrátora.
5. Vyhledávání interních skenerů sítě
Nyní si ukážeme několik příkladů krmiv — incidentů IB. Tato funkce je zajímavější pro bezpečnostní pracovníky.
Předinstalované typy událostí skenování v StealthWatch jsou různé:
- Skenování portu — zdroj skenuje množství portů cílového uzlu.
- Addr tcp sken — zdroj skenuje celou síť podle stejného TCP portu, přičemž mění IP adresu určení. Přitom zdroj dostává TCP Reset pakety nebo naopak neobdrží žádné odpovědi.
- Addr udp sken — zdroj skenuje celou síť podle stejného UDP portu, přičemž mění IP adresu určení. Přitom zdroj dostává ICMP Port Unreachable pakety nebo neobdrží žádné odpovědi.
- Ping sken — zdroj posílá ICMP žádosti do celé sítě s cílem vyhledat odpovědi.
- Stealth sken tcp / udp — zdroj používal stejný svůj port pro připojení k mnoha portům na cílovém uzlu ve stejnou dobu.
Pro snadnější vyhledání všech interních skenerů existuje síťová aplikace pro StealthWatch — Hodnocení viditelnosti. Po kliknutí na kartu Nástěnky → Hodnocení viditelnosti → Interní skenery sítě uvidíte bezpečnostní incidenty týkající se skenování za poslední 2 týdny.
Kliknutím na tlačítko Podrobnosti, bude vidět začátek skenování každé sítě, trend provozu a odpovídající alarmy.
Dále se můžete „prohloubit“ na hostitele z karty na předchozím snímku a zobrazit bezpečnostní události a také aktivitu za poslední týden pro tento hostitel.
Jako příklad se podíváme na událost Skener portů z hostitele 10.201.3.149 na 10.201.0.72, kliknutím na Akce > Související toky. Spustí se hledání podle toků a zobrazí se relevantní informace.
Jak vidíme, tento hostitel z jednoho svého portu 51508/TCP skanoval před 3 hodinami cílový hostitel na portech 22, 28, 42, 41, 36, 40 (TCP). Některá pole nezobrazují informace, buď proto, že ne všechna pole Netflow jsou podporována na Netflow exportéru.
6. Analýza stažených malware pomocí CTA
CTA (Cognitive Threat Analytics) — cloudová analytika Cisco, která se skvěle integruje s Cisco StealthWatch a umožňuje doplnit bezsigneční analýzu signaturou. Tím se stává možné detekování trojanů, síťových červů, malware nultého dne a dalších zlovolných software a jejich šíření v rámci sítě. Také dříve zmíněná technologie ETA umožňuje analyzovat takové zlovolné komunikace i v šifrovaném provozu.
Takřka na první kartě ve webovém rozhraní je speciální widget Cognitive Threat Analytics. Stručný přehled informuje o detekovaných hrozbách na uživatelských hostitelích: trojan, podvodný software, rušivé reklamní software. Slovo „Encrypted“ právě svědčí o práci ETA. Kliknutím na hostitele se zobrazí všechny informace, včetně bezpečnostních událostí, logů ze CTA.
Při najetí na každou etapu CTA se zobrazuje podrobná informace o interakci. Pro plnou analýzu je dobré kliknout na Zobrazit podrobnosti incidentu, a dostanete se do samostatné konzole. Cognitive Threat Analytics.
V pravém horním rohu filtr umožňuje zobrazit události podle úrovně závažnosti. Při najetí na konkrétní anomálii se ve spodní části obrazovky zobrazují logy s odpovídajícím časovým rámcem vpravo. Tímto způsobem specialisté na kybernetickou bezpečnost jasně chápou, který infikovaný hostitel po jakých akcích začal provádět jaké akce.
Níže je zobrazen další příklad — bankovní trojan, kterým byl hostitel infikován 198.19.30.36. Tento hostitel začal interagovat se zlovolnými doménami a v logách je zobrazená informace o tocích těchto interakcí.
Dále jedno z nejlepších řešení, jaké může být, je umístit hostitele do karantény díky nativní s Cisco ISE pro další léčbu a analýzu.
Závěr
Řešení Cisco StealthWatch patří mezi lídry v oblasti monitorování sítí, a to jak z hlediska analýzy sítě, tak informační bezpečnosti. Díky němu můžete odhalit nelegitimní interakce v rámci sítě, zpoždění aplikací, nejaktivnější uživatele, anomálie, malware a APT. Navíc dokáže identifikovat skenování, pentestery a provádět kryptoaudit HTTPS provozu. Ještě více případů použití najdete na .
Pokud máte chuť ověřit, jak hladce a efektivně funguje vaše síť, odešlete .
V nejbližší době plánujeme několik dalších technických publikací o různých produktech IB. Pokud vás toto téma zajímá, sledujte aktualizace na našich kanálech (, , , )!
Zdroj: habr.com
