{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Anal\u00fdza \u0161ifrovan\u00e9ho provozu bez jeho de\u0161ifrov\u00e1n\u00ed","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Syst\u00e9m pro anal\u00fdzu provozu bez jeho de\u0161ifrov\u00e1n\u00ed. Tato metoda se naz\u00fdv\u00e1 jednodu\u0161e - \u201estrojov\u00e9 u\u010den\u00ed\u201c. Uk\u00e1zalo se, \u017ee pokud do speci\u00e1ln\u00edho klasifik\u00e1toru dod\u00e1me velmi velk\u00e9 mno\u017estv\u00ed r\u016fznorod\u00e9ho provozu, syst\u00e9m s velmi vysokou pravd\u011bpodobnost\u00ed dok\u00e1\u017ee detekovat \u010dinnosti \u0161kodliv\u00e9ho k\u00f3du uvnit\u0159 za\u0161ifrovan\u00e9ho provozu.<\/p>\n

<\/p>\n

\"Anal\u00fdza<\/p>\n

<\/a><\/noindex><\/p>\n

S\u00ed\u0165ov\u00e9 hrozby se zm\u011bnily a staly se \u201einteligentn\u011bj\u0161\u00edmi\u201c. V posledn\u00ed dob\u011b se zm\u011bnila sama koncepce \u00fatoku a obrany. Po\u010det ud\u00e1lost\u00ed v s\u00edti se zv\u00fd\u0161il n\u011bkolikan\u00e1sobn\u011b. \u00datoky se staly rafinovan\u011bj\u0161\u00edmi a hacke\u0159i maj\u00ed \u0161ir\u0161\u00ed rozsah \u00fatok\u016f.<\/p>\n

<\/p>\n

Podle statistik Cisco, zlo\u010dinci v posledn\u00edm roce ztrojn\u00e1sobili po\u010det \u0161kodliv\u00fdch program\u016f, kter\u00e9 pou\u017e\u00edvaj\u00ed pro svou \u010dinnost, p\u0159esn\u011bji pro jej\u00ed skr\u00fdv\u00e1n\u00ed - \u0161ifrov\u00e1n\u00ed. Z teorie je zn\u00e1mo, \u017ee \u201espr\u00e1vn\u00fd\u201c \u0161ifrovac\u00ed algoritmus nem\u016f\u017ee b\u00fdt prolomen. Abychom porozum\u011bli tomu, co se skr\u00fdv\u00e1 uvnit\u0159 za\u0161ifrovan\u00e9ho provozu, je t\u0159eba bu\u010f de\u0161ifrovat s kl\u00ed\u010dem, nebo se pokusit o jeho de\u0161ifrov\u00e1n\u00ed r\u016fzn\u00fdmi trikami, nebo hrubou silou, nebo vyu\u017e\u00edt n\u011bjak\u00e9 zranitelnosti v kryptografick\u00fdch protokolech.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nObraz s\u00ed\u0165ov\u00fdch hrozeb na\u0161\u00ed doby<\/em><\/p>\n

<\/p>\n

Strojov\u00e9 u\u010den\u00ed<\/h3>\n

<\/p>\n

Poznej technologii osobn\u011b! Ne\u017e za\u010dneme mluvit o tom, jak funguje samotn\u00e1 technologie de\u0161ifrov\u00e1n\u00ed zalo\u017een\u00e1 na strojov\u00e9m u\u010den\u00ed, je t\u0159eba se pod\u00edvat na to, jak vlastn\u011b funguje technologie neuronov\u00fdch s\u00edt\u00ed.<\/p>\n

<\/p>\n

Strojov\u00e9 u\u010den\u00ed (Machine Learning) je rozs\u00e1hl\u00e1 podkategorie um\u011bl\u00e9 inteligence, kter\u00e1 zkoum\u00e1 metody vytv\u00e1\u0159en\u00ed algoritm\u016f schopn\u00fdch se u\u010dit. Tato v\u011bda se zam\u011b\u0159uje na vytv\u00e1\u0159en\u00ed matematick\u00fdch model\u016f \u201eu\u010den\u00ed\u201c po\u010d\u00edta\u010de. C\u00edlem u\u010den\u00ed je predikce n\u011b\u010deho. V lidsk\u00e9m ch\u00e1p\u00e1n\u00ed naz\u00fdv\u00e1me tento proces slovem \u201emoudrost\u201c<\/em>. Moudrost se projevuje u lid\u00ed, kte\u0159\u00ed pro\u017eili dostatek let (dvoulet\u00e9 d\u00edt\u011b nem\u016f\u017ee b\u00fdt moudr\u00e9). Kdy\u017e se obr\u00e1t\u00edme na star\u0161\u00ed p\u0159\u00e1tele pro radu, poskytujeme jim n\u011bjak\u00e9 informace o ud\u00e1losti (vstupn\u00ed data) a pros\u00edme o pomoc. Oni si zase vzpomenou na v\u0161echny situace ze \u017eivota, kter\u00e9 n\u011bjak souvisej\u00ed s va\u0161\u00ed probl\u00e9my (datab\u00e1ze znalost\u00ed), a na z\u00e1klad\u011b t\u011bchto znalost\u00ed (dat) n\u00e1m d\u00e1vaj\u00ed jak\u00e9si p\u0159edpov\u011bdi (rady). Tento typ rad se naz\u00fdv\u00e1 p\u0159edpov\u011bd\u011bt, proto\u017ee \u010dlov\u011bk, kter\u00fd radu poskytuje, ve skute\u010dnosti nev\u00ed jist\u011b, co se stane, ale pouze se domn\u00edv\u00e1. \u017divotn\u00ed zku\u0161enost ukazuje, \u017ee \u010dlov\u011bk m\u016f\u017ee m\u00edt pravdu, ale tak\u00e9 se m\u016f\u017ee m\u00fdlit.<\/p>\n

<\/p>\n

Nen\u00ed dobr\u00e9 srovn\u00e1vat neuronov\u00e9 s\u00edt\u011b s algoritmem v\u011btven\u00ed (if-else). To jsou r\u016fzn\u00e9 v\u011bci a maj\u00ed kl\u00ed\u010dov\u00e9 rozd\u00edly. Algoritmus v\u011btven\u00ed m\u00e1 jasn\u00e9 \u201epochopen\u00ed\u201c toho, co d\u011blat. Uk\u00e1\u017eu to na p\u0159\u00edkladech.<\/p>\n

<\/p>\n

\u00dakol. Ur\u010dete brzdnou dr\u00e1hu automobilu podle jeho zna\u010dky a roku v\u00fdroby.<\/p>\n

<\/p>\n

P\u0159\u00edklad fungov\u00e1n\u00ed algoritmu v\u011btven\u00ed. Pokud je automobil zna\u010dky 1 a vyroben v roce 2012 \u2013 jeho brzdn\u00e1 dr\u00e1ha je 10 metr\u016f, jinak, pokud je automobil zna\u010dky 2 a vyroben v roce 2011, a tak d\u00e1le.<\/p>\n

<\/p>\n

P\u0159\u00edklad fungov\u00e1n\u00ed neuronov\u00e9 s\u00edt\u011b. Shroma\u017e\u010fujeme data o brzdn\u00fdch drah\u00e1ch automobil\u016f za posledn\u00edch 20 let. Podle zna\u010dky a roku vytv\u00e1\u0159\u00edme tabulku ve form\u00e1tu \u201ezna\u010dka-rok v\u00fdroby-brzdn\u00e1 dr\u00e1ha\u201c. Tuto tabulku p\u0159ed\u00e1v\u00e1me neuronov\u00e9 s\u00edti a za\u010d\u00edn\u00e1me ji u\u010dit. V\u00fduka prob\u00edh\u00e1 n\u00e1sleduj\u00edc\u00edm zp\u016fsobem: pod\u00e1v\u00e1me data do neuronov\u00e9 s\u00edt\u011b, ale bez brzdn\u00e9 dr\u00e1hy. Neuronov\u00e1 s\u00ed\u0165 se sna\u017e\u00ed p\u0159edpov\u011bd\u011bt, jak\u00e1 bude brzdn\u00e1 dr\u00e1ha, na z\u00e1klad\u011b tabulky, kterou jsme do n\u00ed nahr\u00e1li. N\u011bco p\u0159edpov\u00edd\u00e1 a pokl\u00e1d\u00e1 ot\u00e1zku u\u017eivateli \u201eM\u00e1m pravdu?\u201c. P\u0159ed ot\u00e1zkou vytv\u00e1\u0159\u00ed \u010dtvrt\u00fd sloupec \u2013 sloupec odhadu. Pokud m\u00e1 pravdu \u2013 zap\u00ed\u0161e 1 do \u010dtvrt\u00e9ho sloupce, pokud se m\u00fdl\u00ed \u2013 0. Neuronov\u00e1 s\u00ed\u0165 p\u0159ech\u00e1z\u00ed k dal\u0161\u00ed ud\u00e1losti (i kdy\u017e se m\u00fdlila). Tak se s\u00ed\u0165 u\u010d\u00ed a kdy\u017e je v\u00fduka ukon\u010dena (dos\u00e1hnuto ur\u010dit\u00e9ho krit\u00e9ria konvergence), p\u0159ed\u00e1v\u00e1me data o automobilu, kter\u00fd n\u00e1s zaj\u00edm\u00e1, a kone\u010dn\u011b dost\u00e1v\u00e1me odpov\u011b\u010f.<\/p>\n

<\/p>\n

Abych objasnil ot\u00e1zku ohledn\u011b krit\u00e9ria konvergence, vysv\u011btl\u00edm, \u017ee se jedn\u00e1 o matematicky odvozen\u00fd vzorec pro statistiku. V\u00fdrazn\u00fd p\u0159\u00edklad dvou r\u016fzn\u00fdch vzorc\u016f konvergence. \u010cerven\u00e1 \u2013 bin\u00e1rn\u00ed konvergence, modr\u00e1 \u2013 norm\u00e1ln\u00ed konvergence.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nBinomick\u00e9 a norm\u00e1ln\u00ed rozlo\u017een\u00ed pravd\u011bpodobnosti<\/em><\/p>\n

<\/p>\n

Aby to bylo jasn\u011bj\u0161\u00ed, polo\u017ete ot\u00e1zku: \u201eJak\u00e1 je pravd\u011bpodobnost setk\u00e1n\u00ed s dinosaury?\u201c. Existuj\u00ed dv\u011b mo\u017enosti odpov\u011bdi. Mo\u017enost 1 \u2013 velmi mal\u00e1 (modr\u00e1 k\u0159ivka). Mo\u017enost 2 \u2013 bu\u010f se setk\u00e1m, nebo ne (\u010derven\u00e1 k\u0159ivka).<\/p>\n

<\/p>\n

Samoz\u0159ejm\u011b, po\u010d\u00edta\u010d nen\u00ed \u010dlov\u011bk a u\u010d\u00ed se jinak. Rozli\u0161uj\u00ed se dva typy u\u010den\u00ed \u017eelezn\u00e9ho kon\u011b \u2013 u\u010den\u00ed podle p\u0159\u00edklad\u016f<\/strong> a deduktivn\u00ed u\u010den\u00ed<\/strong>.<\/p>\n

<\/p>\n

U\u010den\u00ed podle p\u0159\u00edklad\u016f je zp\u016fsob u\u010den\u00ed na z\u00e1klad\u011b matematick\u00fdch z\u00e1kon\u016f. Matematici shroma\u017e\u010fuj\u00ed statistick\u00e9 tabulky, d\u011blaj\u00ed z\u00e1v\u011bry a nahr\u00e1vaj\u00ed do neuronov\u00e9 s\u00edt\u011b v\u00fdsledek \u2013 vzorec pro v\u00fdpo\u010det.<\/p>\n

<\/p>\n

Deduktivn\u00ed u\u010den\u00ed prob\u00edh\u00e1 zcela v neuronov\u00e9 s\u00edti (od sb\u011bru dat po jejich anal\u00fdzu). Zde se formuje tabulka bez vzorce, ale se statistikou.<\/p>\n

<\/p>\n

\u0160irok\u00fd p\u0159ehled technologie by vy\u017eadoval je\u0161t\u011b p\u00e1r des\u00edtek \u010dl\u00e1nk\u016f. Pro z\u00e1kladn\u00ed pochopen\u00ed n\u00e1m zat\u00edm sta\u010d\u00ed i toto.<\/p>\n

<\/p>\n

Neuroplasticita<\/h3>\n

<\/p>\n

V biologii existuje pojem neuroplasticita. Neuroplasticita je schopnost neuron\u016f (bun\u011bk mozku) reagovat \u201ena situaci\u201c. Nap\u0159\u00edklad \u010dlov\u011bk, kter\u00fd p\u0159i\u0161el o zrak, l\u00e9pe sly\u0161\u00ed zvuky, c\u00edt\u00ed v\u016fn\u011b a vn\u00edm\u00e1 p\u0159edm\u011bty. K tomu doch\u00e1z\u00ed, proto\u017ee \u010d\u00e1st mozku (\u010d\u00e1st neuron\u016f), kter\u00e1 je zodpov\u011bdn\u00e1 za zrak, p\u0159erozd\u011bluje svou pr\u00e1ci na jinou funk\u010dnost.<\/p>\n

<\/p>\n

Jasn\u00fdm p\u0159\u00edkladem neuroplasticity v \u017eivot\u011b je bonb\u00f3n BrainPort.<\/p>\n

<\/p>\n

V roce 2009 ozn\u00e1mila univerzita ve Wisconsinu v Madisonu uveden\u00ed nov\u00e9ho za\u0159\u00edzen\u00ed, kter\u00e9 rozv\u00edj\u00ed my\u0161lenky \u201ejazykov\u00e9ho displeje\u201c, - naz\u00fdv\u00e1 se BrainPort. BrainPort funguje podle n\u00e1sleduj\u00edc\u00edho algoritmu: videosign\u00e1l je p\u0159en\u00e1\u0161en z kamery do procesoru, kter\u00fd ovl\u00e1d\u00e1 zoom, jas a dal\u0161\u00ed parametry obrazu. Tento procesor tak\u00e9 p\u0159ev\u00e1d\u00ed digit\u00e1ln\u00ed sign\u00e1ly na elektrick\u00e9 impulsy, prakticky p\u0159eb\u00edr\u00e1 funkce s\u00edtnice.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nBonb\u00f3n BrainPort s br\u00fdlemi a kamerou<\/em><\/p>\n

<\/p>\n

\"Anal\u00fdza
\nBrainPort v akci<\/em><\/p>\n

\n

\r\n \"P\u0159ehr\u00e1t\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Podobn\u011b je tomu i s po\u010d\u00edta\u010dem. Pokud neuronov\u00e1 s\u00ed\u0165 c\u00edt\u00ed zm\u011bnu v procesu, p\u0159izp\u016fsob\u00ed se j\u00ed. To je kl\u00ed\u010dov\u00e1 v\u00fdhoda neuronov\u00fdch s\u00edt\u00ed ve srovn\u00e1n\u00ed s jin\u00fdmi algoritmy \u2013 autonomie. Jak\u00e9si lidstv\u00ed.<\/p>\n

<\/p>\n

Anal\u00fdza \u0161ifrovan\u00e9ho provozu<\/h3>\n

<\/p>\n

Analytika \u0161ifrovan\u00e9ho provozu je sou\u010d\u00e1st\u00ed syst\u00e9mu Stealthwatch. Stealthwatch je v\u00fdvoj spole\u010dnosti Cisco v oblasti \u0159e\u0161en\u00ed pro monitorov\u00e1n\u00ed a anal\u00fdzu bezpe\u010dnosti, kter\u00e9 vyu\u017e\u00edv\u00e1 podnikov\u00e1 telemetrick\u00e1 data z existuj\u00edc\u00ed s\u00ed\u0165ov\u00e9 infrastruktury.<\/p>\n

<\/p>\n

Z\u00e1klad syst\u00e9mu Stealthwatch Enterprise tvo\u0159\u00ed n\u00e1stroje Flow Rate License, Flow Collector, Management Console a Flow Sensor.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nRozhran\u00ed Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Probl\u00e9m \u0161ifrov\u00e1n\u00ed se stal velmi aktu\u00e1ln\u00edm, proto\u017ee se za\u010dalo \u0161ifrovat mnohem v\u00edce provozu. D\u0159\u00edve se \u0161ifrovaly hlavn\u011b k\u00f3dy, nyn\u00ed je cel\u00fd provoz \u0161ifrov\u00e1n a odd\u011blit \u201e\u010dist\u00e1\u201c data od vir\u016f se stalo mnohem slo\u017eit\u011bj\u0161\u00edm. P\u0159\u00edkladem je WannaCry, kter\u00fd vyu\u017e\u00edval Tor k zakryt\u00ed sv\u00e9 p\u0159\u00edtomnosti v s\u00edti.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nVizualizace r\u016fstu \u0161ifrov\u00e1n\u00ed provozu v s\u00edti<\/em><\/p>\n

<\/p>\n

\"Anal\u00fdza
\n\u0160ifrov\u00e1n\u00ed v makroekonomice<\/em><\/p>\n

<\/p>\n

Syst\u00e9m Encrypted Traffic Analytics (ETA) je nezbytn\u00fd k pr\u00e1ci se \u0161ifrovan\u00fdm provozem bez jeho de\u0161ifrov\u00e1n\u00ed. \u00dato\u010dn\u00edci jsou inteligentn\u00ed a pou\u017e\u00edvaj\u00ed kryptograficky odoln\u00e9 \u0161ifrovac\u00ed algoritmy, a jejich prolomen\u00ed je nejen probl\u00e9m, ale tak\u00e9 obrovskou z\u00e1t\u011b\u017e\u00ed pro organizace.<\/p>\n

<\/p>\n

Syst\u00e9m funguje n\u00e1sleduj\u00edc\u00edm zp\u016fsobem. Do firmy p\u0159ich\u00e1z\u00ed n\u011bjak\u00fd provoz. Dostal se do TLS (Transport Layer Security \u2013 protokol pro ochranu transportn\u00ed vrstvy). P\u0159edpokl\u00e1dejme, \u017ee je provoz \u0161ifrovan\u00fd. Sna\u017e\u00edme se odpov\u011bd\u011bt na n\u011bkolik ot\u00e1zek ohledn\u011b toho, jak\u00e9 spojen\u00ed bylo nav\u00e1z\u00e1no.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nPrincip fungov\u00e1n\u00ed syst\u00e9mu Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Pro odpov\u011b\u010f na tyto ot\u00e1zky pou\u017e\u00edv\u00e1me strojov\u00e9 u\u010den\u00ed v tomto syst\u00e9mu. Vych\u00e1z\u00edme z v\u00fdzkum\u016f spole\u010dnosti Cisco a na z\u00e1klad\u011b t\u011bchto v\u00fdzkum\u016f vytv\u00e1\u0159\u00edme tabulku ze 2 v\u00fdsledk\u016f \u2013 \u0161kodliv\u00fd a \u201edobr\u00fd\u201c provoz. Samoz\u0159ejm\u011b, \u017ee nev\u00edme s jistotou, jak\u00fd provoz se dostal do syst\u00e9mu v sou\u010dasn\u00e9 dob\u011b, ale m\u016f\u017eeme sledovat historii provozu jak ve firm\u011b, tak mimo jej\u00ed r\u00e1mec \u010derp\u00e1n\u00edm z dat ze sv\u011btov\u00e9 sc\u00e9ny. Na v\u00fdstupu z t\u00e9to f\u00e1ze z\u00edsk\u00e1v\u00e1me obrovskou tabulku s daty.<\/p>\n

<\/p>\n

Na z\u00e1klad\u011b v\u00fdsledk\u016f v\u00fdzkumu se vyjas\u0148uj\u00ed charakteristick\u00e9 rysy \u2013 ur\u010dit\u00e9 pravidla, kter\u00e1 lze zapsat v matematick\u00e9 podob\u011b. Tato pravidla se budou velmi li\u0161it podle r\u016fzn\u00fdch krit\u00e9ri\u00ed \u2013 velikosti p\u0159en\u00e1\u0161en\u00fdch soubor\u016f, typu p\u0159ipojen\u00ed, zem\u011b, ze kter\u00e9 p\u0159ich\u00e1z\u00ed dan\u00fd provoz atd. V d\u016fsledku pr\u00e1ce se obrovsk\u00e1 tabulka prom\u011bnila v soubor mno\u017estv\u00ed vzorc\u016f. Ty se zmen\u0161ily, ale to je pro komfortn\u00ed pr\u00e1ci st\u00e1le m\u00e1lo.<\/p>\n

<\/p>\n

D\u00e1le se aplikuje technologie strojov\u00e9ho u\u010den\u00ed \u2013 konvergence vzorce a na z\u00e1klad\u011b t\u00e9to konvergence z\u00edsk\u00e1v\u00e1me sp\u00edna\u010d \u2013 p\u0159ep\u00edna\u010d, kde p\u0159i v\u00fdstupu dat m\u00e1me vyp\u00edna\u010d (flag) v zvednut\u00e9 nebo spu\u0161t\u011bn\u00e9 poloze.<\/p>\n

<\/p>\n

V\u00fdsledn\u00e1 etapa \u2013 z\u00edsk\u00e1n\u00ed sady sp\u00edna\u010d\u016f, kter\u00e9 pokryly 99% provozu.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nEtapy kontroly provozu v ETA<\/em><\/p>\n

<\/p>\n

V\u00fdsledkem pr\u00e1ce se \u0159e\u0161\u00ed je\u0161t\u011b jeden probl\u00e9m \u2013 \u00fatok zevnit\u0159. Nen\u00ed ji\u017e t\u0159eba m\u00edt lidi uprost\u0159ed, kte\u0159\u00ed ru\u010dn\u011b filtruj\u00ed provoz (v tomto bod\u011b si podkop\u00e1v\u00e1m s\u00e1m sebe). Za prv\u00e9, nen\u00ed u\u017e t\u0159eba vynakl\u00e1dat velk\u00e9 pen\u00edze na schopn\u00e9ho syst\u00e9mov\u00e9ho administr\u00e1tora (pokra\u010duji v sabot\u00e1\u017ei s\u00e1m sebe). Za druh\u00e9, je odstran\u011bno nebezpe\u010d\u00ed vnit\u0159n\u00edho napaden\u00ed (alespo\u0148 \u010d\u00e1ste\u010dn\u011b).<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nZastaral\u00e1 koncepce Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Nyn\u00ed se poj\u010fme pod\u00edvat na to, na \u010dem je syst\u00e9m zalo\u017een.<\/p>\n

<\/p>\n

Syst\u00e9m funguje na \u010dty\u0159ech komunika\u010dn\u00edch protokolech: TCP\/IP \u2013 protokol pro p\u0159enos dat na internetu, DNS \u2013 server dom\u00e9nov\u00fdch n\u00e1zv\u016f, TLS \u2013 protokol pro ochranu transportn\u00ed \u00farovn\u011b, SPLT (SpaceWire Physical Layer Tester) \u2013 tester fyzick\u00e9 vrstvy komunikace.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nProtokoly pracuj\u00edc\u00ed s ETA<\/em><\/p>\n

<\/p>\n

Srovn\u00e1v\u00e1n\u00ed prob\u00edh\u00e1 porovn\u00e1v\u00e1n\u00edm dat. Pomoc\u00ed protokolu TCP\/IP se prov\u011b\u0159uje reputace webov\u00fdch str\u00e1nek (historie n\u00e1v\u0161t\u011bv, \u00fa\u010del vytvo\u0159en\u00ed str\u00e1nky atd.), d\u00edky protokolu DNS m\u016f\u017eeme odstranit \"\u0161patn\u00e9\" adresy webov\u00fdch str\u00e1nek. Protokol TLS pracuje s \"otisky\" webov\u00fdch str\u00e1nek (fingerprint) a kontroluje str\u00e1nky v datab\u00e1zi po\u010d\u00edta\u010dov\u00e9 skupiny pro reakci na mimo\u0159\u00e1dn\u00e9 ud\u00e1losti (cert). Posledn\u00edm krokem kontroly p\u0159ipojen\u00ed je prov\u011b\u0159ov\u00e1n\u00ed na fyzick\u00e9 \u00farovni. Podrobnosti o pr\u00e1ci t\u00e9to etapy nejsou specifikov\u00e1ny, ale smysl je n\u00e1sleduj\u00edc\u00ed: kontrola sinusoid a cosinus\u016f k\u0159ivek p\u0159enosu dat na oscila\u010dn\u00edch za\u0159\u00edzen\u00edch, tj. d\u00edky struktu\u0159e dotazu na fyzick\u00e9 \u00farovni ur\u010dujeme c\u00edl p\u0159ipojen\u00ed.<\/p>\n

<\/p>\n

D\u00edky \u010dinnosti syst\u00e9mu m\u016f\u017eeme z\u00edsk\u00e1vat data z za\u0161ifrovan\u00e9ho provozu. Studov\u00e1n\u00edm paket\u016f jsme schopni p\u0159e\u010d\u00edst maxim\u00e1ln\u00ed mno\u017estv\u00ed informac\u00ed z neza\u0161ifrovan\u00fdch pol\u00ed v samotn\u00e9m paketu. Pomoc\u00ed inspekce paketu na fyzick\u00e9 \u00farovni zjist\u00edme charakteristiky paketu (\u010d\u00e1ste\u010dn\u011b nebo \u00fapln\u011b). Tak\u00e9 bychom nem\u011bli zapom\u00ednat na reputaci str\u00e1nek. Pokud byl dotaz zasl\u00e1n z n\u011bjak\u00e9ho .onion zdroje, nem\u011bli bychom mu v\u011b\u0159it. Pro zjednodu\u0161en\u00ed pr\u00e1ce s takov\u00fdmi daty byla vytvo\u0159ena rizikov\u00e1 mapa.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nV\u00fdsledek \u010dinnosti ETA<\/em><\/p>\n

<\/p>\n

A v\u0161echno se zd\u00e1 b\u00fdt v po\u0159\u00e1dku, ale poj\u010fme si promluvit o nasazen\u00ed s\u00edt\u011b.<\/p>\n

<\/p>\n

Fyzick\u00e1 realizace ETA<\/h3>\n

<\/p>\n

Zde vyvst\u00e1v\u00e1 \u0159ada nuanc\u00ed a jemnost\u00ed. Za prv\u00e9, p\u0159i vytv\u00e1\u0159en\u00ed takov\u00e9ho
\ns\u00edtov\u00e9ho syst\u00e9mu s vysoce \u00farov\u0148ov\u00fdm softwarem je t\u0159eba shrom\u00e1\u017edit data. Shroma\u017e\u010fovat data ru\u010dn\u011b je \u00fapln\u011b
\nnepohodln\u00e9, a implementace syst\u00e9mu reakce \u2013 to u\u017e je zaj\u00edmav\u011bj\u0161\u00ed. Za druh\u00e9, mus\u00ed b\u00fdt k dispozici mnoho dat, co\u017e znamen\u00e1, \u017ee nainstalovan\u00e9 senzory s\u00edt\u011b mus\u00ed fungovat
\nnejen autonomn\u011b, ale i v jemn\u011b nastaven\u00e9m re\u017eimu, co\u017e p\u0159in\u00e1\u0161\u00ed \u0159adu komplikac\u00ed.
\nSenzory a syst\u00e9m Stealthwatch<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nNainstalovat senzor \u2013 to je jedna v\u011bc, ale jeho nastaven\u00ed \u2013 \u00fapln\u011b jin\u00e1 v\u00fdzva. Pro nastaven\u00ed senzor\u016f existuje komplex, kter\u00fd pracuje podle n\u00e1sleduj\u00edc\u00ed topologie \u2013 ISR = router s integrac\u00ed slu\u017eeb Cisco (Cisco Integrated Services Router); ASR = router s agregac\u00ed slu\u017eeb Cisco (Cisco Aggregation Services Router); CSR = router cloudov\u00fdch slu\u017eeb Cisco (Cisco Cloud Services Router); WLC = \u0159adi\u010d bezdr\u00e1tov\u00fdch lok\u00e1ln\u00edch s\u00edt\u00ed Cisco (Cisco Wireless LAN Controller); IE = pr\u016fmyslov\u00fd Ethernetov\u00fd switch Cisco (Cisco Industrial Ethernet); ASA = za\u0159\u00edzen\u00ed adaptivn\u00ed ochrany Cisco (Cisco Adaptive Security Appliance); FTD = \u0159e\u0161en\u00ed pro ochranu p\u0159ed hrozbami Cisco Firepower Threat Defense; WSA = za\u0159\u00edzen\u00ed pro zabezpe\u010den\u00ed webov\u00e9ho provozu (Web Security Appliance); ISE = modul identifika\u010dn\u00edch slu\u017eeb (Identity Services Engine)<\/em><\/p>\n

<\/p>\n

Komplexn\u00ed monitorov\u00e1n\u00ed s ohledem na jak\u00e1koliv telemetrick\u00e1 data<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nU s\u00ed\u0165ov\u00fdch administr\u00e1tor\u016f za\u010d\u00edn\u00e1 arytmie od po\u010dtu slov \u201eCisco\u201c v p\u0159edchoz\u00edm odstavci. Cena tohoto z\u00e1zraku nen\u00ed mal\u00e1, ale o tom dnes mluvit nebudeme...<\/em><\/p>\n

<\/p>\n

U s\u00ed\u0165ov\u00fdch administr\u00e1tor\u016f za\u010d\u00edn\u00e1 arytmie od po\u010dtu slov \u201eCisco\u201c v p\u0159edchoz\u00edm odstavci. Cena tohoto z\u00e1zraku nen\u00ed mal\u00e1, ale o tom dnes mluvit nebudeme...<\/p>\n

<\/p>\n

Modelov\u00e1n\u00ed chov\u00e1n\u00ed hackera prob\u00edh\u00e1 n\u00e1sleduj\u00edc\u00edm zp\u016fsobem. Stealthwatch pe\u010dliv\u011b sleduje aktivitu ka\u017ed\u00e9ho za\u0159\u00edzen\u00ed v s\u00edti a dok\u00e1\u017ee vytvo\u0159it vzor norm\u00e1ln\u00edho chov\u00e1n\u00ed. Toto \u0159e\u0161en\u00ed rovn\u011b\u017e poskytuje hlubok\u00e9 porozum\u011bn\u00ed zn\u00e1m\u00e9mu nevhodn\u00e9mu chov\u00e1n\u00ed. V r\u00e1mci tohoto \u0159e\u0161en\u00ed se pou\u017e\u00edv\u00e1 p\u0159ibli\u017en\u011b 100 r\u016fzn\u00fdch algoritm\u016f anal\u00fdzy nebo heuristick\u00fdch pravidel, kter\u00e9 se t\u00fdkaj\u00ed r\u016fzn\u00fdch typ\u016f chov\u00e1n\u00ed provozu, jako je skenov\u00e1n\u00ed, p\u0159enos nouzov\u00fdch r\u00e1me\u010dk\u016f z uzlu, p\u0159\u00edstup do syst\u00e9mu metodou hrub\u00e9 s\u00edly, p\u0159edpokl\u00e1dan\u00e9 zachycen\u00ed dat, p\u0159edpokl\u00e1dan\u00fd \u00fanik dat atd. Uveden\u00e9 bezpe\u010dnostn\u00ed ud\u00e1losti spadaj\u00ed do kategorie logick\u00e9 vysok\u00e9 \u00farovn\u011b. N\u011bkter\u00e9 bezpe\u010dnostn\u00ed ud\u00e1losti mohou tak\u00e9 samy o sob\u011b zp\u016fsobit vyvol\u00e1n\u00ed alarmu. Syst\u00e9m je tak schopen korelovat mnoh\u00e9 izolovan\u00e9 anom\u00e1ln\u00ed incidenty a spojit je do celku, aby ur\u010dil mo\u017en\u00fd typ \u00fatoku a tak\u00e9 jej p\u0159isoudil konkr\u00e9tn\u00edmu za\u0159\u00edzen\u00ed a u\u017eivateli (obr. 2). Incident m\u016f\u017ee b\u00fdt n\u00e1sledn\u011b sledov\u00e1n v dynamice a s ohledem na souvisej\u00edc\u00ed telemetrick\u00e1 data. To tvo\u0159\u00ed kontextov\u00e9 informace v nejlep\u0161\u00ed podob\u011b. L\u00e9ka\u0159i, kte\u0159\u00ed vy\u0161et\u0159uj\u00ed pacienta, aby pochopili, co se stalo, nezohled\u0148uj\u00ed symptomy jednotliv\u011b. Zkoumaj\u00ed celkov\u00fd obraz pro stanoven\u00ed diagn\u00f3zy. Podobn\u011b Stealthwatch zaznamen\u00e1v\u00e1 ka\u017edou anom\u00e1ln\u00ed aktivitu v s\u00edti a studuje ji v celkov\u00e9m kontextu, aby vys\u00edlal alarmy s ohledem na kontext, \u010d\u00edm\u017e pom\u00e1h\u00e1 bezpe\u010dnostn\u00edm specialist\u016fm prioritizovat rizika.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nDetekce anom\u00e1li\u00ed pomoc\u00ed modelov\u00e1n\u00ed chov\u00e1n\u00ed<\/em><\/p>\n

<\/p>\n

Fyzick\u00e9 nasazen\u00ed s\u00edt\u011b vypad\u00e1 takto:<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nVarianta nasazen\u00ed s\u00edt\u011b pobo\u010dkov\u00e9 s\u00edt\u011b (zjednodu\u0161en\u00e1)<\/em><\/p>\n

<\/p>\n

\"Anal\u00fdza
\nVarianta nasazen\u00ed s\u00edt\u011b pobo\u010dkov\u00e9 s\u00edt\u011b<\/em><\/p>\n

<\/p>\n

S\u00ed\u0165 je nasazena, ale z\u016fst\u00e1v\u00e1 otev\u0159en\u00e1 ot\u00e1zka ohledn\u011b neuronov\u00e9 s\u00edt\u011b. Zorganizovali jsme datovou s\u00ed\u0165, nainstalovali jsme na prahy senzory a spustili syst\u00e9m sb\u011bru informac\u00ed, ale neuronov\u00e1 s\u00ed\u0165 se do procesu zat\u00edm nezapojila.<\/p>\n

<\/p>\n

V\u00edcevrstv\u00e1 neuronov\u00e1 s\u00ed\u0165<\/h3>\n

<\/p>\n

Syst\u00e9m analyzuje chov\u00e1n\u00ed u\u017eivatel\u016f a za\u0159\u00edzen\u00ed za \u00fa\u010delem identifikace \u0161kodliv\u00fdch infekc\u00ed, komunikac\u00ed s \u0159\u00edd\u00edc\u00edmi servery, \u00faniky dat a tak\u00e9 potenci\u00e1ln\u011b ne\u017e\u00e1douc\u00edch aplikac\u00ed b\u011b\u017e\u00edc\u00edch v infrastruktu\u0159e organizace. Existuje n\u011bkolik \u00farovn\u00ed zpracov\u00e1n\u00ed dat, na kter\u00fdch kombinace metod um\u011bl\u00e9 inteligence, strojov\u00e9ho u\u010den\u00ed a matematick\u00e9 statistiky pom\u00e1haj\u00ed s\u00edti samou\u010dit se sv\u00e9 norm\u00e1ln\u00ed aktivity, aby mohla ur\u010dovat \u0161kodlivou \u010dinnost.<\/p>\n

<\/p>\n

Bezpe\u010dnostn\u00ed analytick\u00fd kan\u00e1l s\u00edt\u011b, kter\u00fd shroma\u017e\u010fuje telemetrick\u00e1 data ze v\u0161ech \u010d\u00e1st\u00ed rozs\u00e1hl\u00e9 s\u00edt\u011b, v\u010detn\u011b \u0161ifrovan\u00e9ho provozu, je jedine\u010dnou vlastnost\u00ed Stealthwatch. Postupn\u011b vytv\u00e1\u0159\u00ed porozum\u011bn\u00ed tomu, co je \u201eanom\u00e1ln\u00ed\u201c, pot\u00e9 klasifikuje jednotliv\u00e9 prvky \u201eohro\u017euj\u00edc\u00ed aktivity\u201c a nakonec vyd\u00e1v\u00e1 kone\u010dn\u00e9 rozhodnut\u00ed o tom, zda bylo za\u0159\u00edzen\u00ed nebo u\u017eivatel skute\u010dn\u011b kompromitov\u00e1n. Schopnost shrom\u00e1\u017edit mal\u00e9 kousky dohromady, kter\u00e9 spole\u010dn\u011b tvo\u0159\u00ed d\u016fkaz pro p\u0159ijet\u00ed kone\u010dn\u00e9ho rozhodnut\u00ed o kompromitaci objektu, je zaji\u0161t\u011bna d\u00edky velmi pe\u010dliv\u00e9 anal\u00fdze a korelaci.<\/p>\n

<\/p>\n

Tato schopnost m\u00e1 velk\u00fd v\u00fdznam, proto\u017ee standardn\u00ed podnik m\u016f\u017ee denn\u011b dost\u00e1vat obrovsk\u00e9 mno\u017estv\u00ed alarm\u016f, a prov\u00e9st vy\u0161et\u0159ov\u00e1n\u00ed ka\u017ed\u00e9ho z nich je nemo\u017en\u00e9 \u2014 zdroje bezpe\u010dnostn\u00edch specialist\u016f jsou omezen\u00e9. Modul strojov\u00e9ho u\u010den\u00ed zpracov\u00e1v\u00e1 obrovsk\u00e9 mno\u017estv\u00ed informac\u00ed t\u00e9m\u011b\u0159 v re\u00e1ln\u00e9m \u010dase za \u00fa\u010delem identifikace kritick\u00fdch incident\u016f s vysokou \u00farovn\u00ed d\u016fv\u011bry a je tak\u00e9 schopen navrhnout jasn\u00fd postup pro rychl\u00e9 n\u00e1pravy.<\/p>\n

<\/p>\n

Poj\u010fme se podrobn\u011bji pod\u00edvat na r\u016fzn\u00e9 metody strojov\u00e9ho u\u010den\u00ed pou\u017e\u00edvan\u00e9 ve Stealthwatch. Kdy\u017e je incident p\u0159ed\u00e1n do modulu strojov\u00e9ho u\u010den\u00ed Stealthwatch, proch\u00e1z\u00ed bezpe\u010dnostn\u00ed anal\u00fdzou, ve kter\u00e9 se pou\u017e\u00edvaj\u00ed kombinace metod strojov\u00e9ho u\u010den\u00ed s u\u010ditelem a bez u\u010ditele.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nMo\u017enosti v\u00edcestup\u0148ov\u00e9ho strojov\u00e9ho u\u010den\u00ed<\/em><\/p>\n

<\/p>\n

1. \u00farove\u0148. Detekce anom\u00e1li\u00ed a modelov\u00e1n\u00ed d\u016fv\u011bry<\/h3>\n

<\/p>\n

Na t\u00e9to \u00farovni je 99 % provozu odfiltrov\u00e1no pomoc\u00ed statistick\u00fdch detektor\u016f anom\u00e1li\u00ed. Uveden\u00e9 senzory spole\u010dn\u011b vytv\u00e1\u0159ej\u00ed slo\u017eit\u00e9 modely toho, co je norm\u00e1ln\u00ed a co naopak anom\u00e1ln\u00ed. Anom\u00e1ln\u00ed chov\u00e1n\u00ed v\u0161ak nemus\u00ed b\u00fdt nutn\u011b \u0161kodliv\u00e9. Mnoh\u00e9 z toho, co se v na\u0161\u00ed s\u00edti d\u011bje, nen\u00ed nijak spojeno s hrozbou \u2014 je to prost\u011b divn\u00e9. Je p\u0159itom d\u016fle\u017eit\u00e9 klasifikovat takov\u00e9 procesy bez ohledu na hrozbov\u00e9 chov\u00e1n\u00ed. Z tohoto d\u016fvodu jsou v\u00fdsledky pr\u00e1ce t\u011bchto detektor\u016f podrobeny dal\u0161\u00edmu zkoum\u00e1n\u00ed, aby bylo zaznamen\u00e1no divn\u00e9 chov\u00e1n\u00ed, kter\u00e9 lze vysv\u011btlit a kter\u00e9mu lze d\u016fv\u011b\u0159ovat. Nakonec pouze mal\u00fd pod\u00edl nejd\u016fle\u017eit\u011bj\u0161\u00edch tok\u016f a po\u017eadavk\u016f p\u0159ech\u00e1z\u00ed na 2. a 3. \u00farove\u0148. Bez pou\u017eit\u00ed t\u011bchto metod strojov\u00e9ho u\u010den\u00ed by byly provozn\u00ed n\u00e1klady na odd\u011blen\u00ed sign\u00e1lu od \u0161umu p\u0159\u00edli\u0161 vysok\u00e9.<\/p>\n

<\/p>\n

Detekce anom\u00e1li\u00ed.<\/strong> V prvn\u00edm kroku detekce anom\u00e1li\u00ed se pou\u017e\u00edvaj\u00ed statistick\u00e9 metody strojov\u00e9ho u\u010den\u00ed k odd\u011blen\u00ed statisticky norm\u00e1ln\u00edho provozu od anom\u00e1ln\u00edho. V\u00edce ne\u017e 70 jednotliv\u00fdch detektor\u016f zpracov\u00e1v\u00e1 telemetrick\u00e1 data shrom\u00e1\u017ed\u011bn\u00e1 Stealthwatch o provozu, kter\u00fd proch\u00e1z\u00ed perimetrem va\u0161\u00ed s\u00edt\u011b, odd\u011bluj\u00edc\u00ed intern\u00ed provoz syst\u00e9mu dom\u00e9nov\u00fdch jmen (DNS) a data proxy serveru, pokud existuj\u00ed. Ka\u017ed\u00fd po\u017eadavek je zpracov\u00e1v\u00e1n v\u00edce ne\u017e 70 detektory, p\u0159i\u010dem\u017e ka\u017ed\u00fd detektor pou\u017e\u00edv\u00e1 sv\u016fj statistick\u00fd algoritmus, co\u017e vede k hodnocen\u00ed identifikovan\u00fdch anom\u00e1li\u00ed. Tato hodnocen\u00ed jsou slou\u010dena, a na z\u00e1klad\u011b aplikace n\u011bkolika statistick\u00fdch metod se z\u00edsk\u00e1v\u00e1 jednotn\u00e9 hodnocen\u00ed pro ka\u017ed\u00fd jednotliv\u00fd po\u017eadavek. Toto kombinovan\u00e9 hodnocen\u00ed se pot\u00e9 pou\u017e\u00edv\u00e1 k odd\u011blen\u00ed norm\u00e1ln\u00edho a anom\u00e1ln\u00edho provozu.<\/p>\n

<\/p>\n

Modelov\u00e1n\u00ed d\u016fv\u011bry.<\/strong> D\u00e1le jsou podobn\u00e9 dotazy agregov\u00e1ny a celkov\u00e1 hodnocen\u00ed anom\u00e1li\u00ed pro takov\u00e9 skupiny jsou ur\u010dena jako dlouhodob\u00fd pr\u016fm\u011br. V pr\u016fb\u011bhu \u010dasu je analyzov\u00e1no v\u00edce dotaz\u016f, co\u017e n\u00e1sledn\u011b umo\u017e\u0148uje sn\u00ed\u017eit fale\u0161n\u011b pozitivn\u00ed a fale\u0161n\u011b negativn\u00ed v\u00fdsledky. V\u00fdsledky modelov\u00e1n\u00ed d\u016fv\u011bry se pou\u017e\u00edvaj\u00ed k v\u00fdb\u011bru podmno\u017einy provozu, jej\u00ed\u017e hodnocen\u00ed anom\u00e1li\u00ed p\u0159ekra\u010duje ur\u010ditou dynamicky definovanou prahovou hodnotu, k jej\u00edmu posunut\u00ed na dal\u0161\u00ed \u00farove\u0148 zpracov\u00e1n\u00ed.<\/p>\n

<\/p>\n

2. \u00farove\u0148. Klasifikace ud\u00e1lost\u00ed a modelov\u00e1n\u00ed objektu<\/h3>\n

<\/p>\n

Na t\u00e9to \u00farovni doch\u00e1z\u00ed ke klasifikaci v\u00fdsledk\u016f z\u00edskan\u00fdch v p\u0159edchoz\u00edch f\u00e1z\u00edch, p\u0159i\u010dem\u017e se p\u0159i\u0159azuj\u00ed k konkr\u00e9tn\u00edm \u0161kodliv\u00fdm ud\u00e1lostem. Klasifikace ud\u00e1lost\u00ed se prov\u00e1d\u00ed podle hodnoty, kterou p\u0159isuzuj\u00ed klasifik\u00e1tory strojov\u00e9ho u\u010den\u00ed, aby se zajistila trval\u00e1 \u00farove\u0148 p\u0159esnosti nad 90 %. Mezi n\u011b pat\u0159\u00ed:<\/p>\n

<\/p>\n