er en analyse-løsning inden for informationssikkerhed, der sikrer omfattende overvågning af trusler i et distribueret netværk. StealthWatch fungerer ved at indsamle NetFlow og IPFIX fra rutere, switche og andre netværksenheder. Dette gør netværket til en følsom sensor, der giver administratoren mulighed for at se steder, hvor traditionelle netværksbeskyttelsesmetoder, såsom Next Generation Firewall, ikke kan nå.
I tidligere artikler har jeg allerede skrevet om StealthWatch: , samt . Nu foreslår jeg, vi går videre og diskuterer, hvordan man skal håndtere alarmer og undersøge sikkerhedshændelser, der genereres af løsningen. Der vil blive præsenteret 6 eksempler, som jeg håber vil give et godt indtryk af produktets nyttighed.
Først skal det nævnes, at StealthWatch har en vis fordeling af hændelser mellem algoritmer og feeds. De første er forskellige typer alarmer (notifikationer), hvor man ved aktivering kan opdage mistænkelige aktiviteter i netværket. De sidstnævnte er sikkerhedshændelser. I denne artikel vil der blive set på 4 eksempler på algoritmelarm og 2 eksempler på feeds.
1. Analyse af de mest omfattende interaktioner i netværket
Det første skridt ved opsætning af StealthWatch er at definere værter og netværk i grupper. I webgrænsefladen finder du fanen Configure > Host Group Management , hvor netværk, værter, servere skal fordeles i de relevante grupper. Grupper kan også oprettes selv. For øvrigt er analysen af interaktioner mellem værter i Cisco StealthWatch ganske praktisk, da man ikke kun kan gemme søgefiltre for strømme, men også resultaterne.
For at starte skal man gå til fanen i webgrænsefladen Analyze > Flow Search. Derefter skal følgende parametre sættes:
- Search Type — Top Conversations (de mest populære interaktioner)
- Time Range — 24 hours (tidsinterval, man kan bruge et andet)
- Search Name — Top Conversations Inside-Inside (et forståeligt navn)
- Subject — Host Groups → Inside Hosts (kilde — gruppe af interne noder)
- Connection (man kan angive porte, applikationer)
- Peer — Host Groups → Inside Hosts (destination — gruppe af interne noder)
- I Advanced Options kan man yderligere angive den samler, som dataene vises fra, sortering af output (efter bytes, strømme osv.). Jeg vil lade det være som standard.
Efter at have klikket på knappen Søg vises en liste over interaktioner, som allerede er sorteret efter mængden af overførte data.
I mit eksempel sender vært 10.150.1.201 (server) kun inden for én enkelt strøm 1,5 GB trafik til værten 10.150.1.200 (klient) via protokollen mysql. Knappen Administrer kolonner gør det muligt at tilføje flere kolonner til de viste data.
Derudover kan administratoren efter eget skøn oprette en brugerdefineret regel, der altid aktiveres for denne type interaktioner og sende meddelelser via SNMP, e-mail eller Syslog.
2. Analyse af de langsommeste klient-server interaktioner inden for netværket for forsinkelser
Labels SRT (Server Response Time), RTT (Round Trip Time) kan afsløre servernes forsinkelser og de samlede forsinkelser i netværket. Dette værktøj er særligt nyttigt, når man hurtigt skal finde årsagen til brugernes klager over langsomt fungerende applikationer.
Bemærk: praktisk taget alle Netflow-eksportører kan ikke sende SRT- og RTT-mærker, derfor skal man ofte konfigurere, at der sendes en kopi af trafikken fra netværksenheder til FlowSensor for at se sådanne data. FlowSensor giver i sin tur udvidet IPFIX til FlowCollector.
Denne analyse er lettere at udføre i Java-applikationen StealthWatch, som installeres på administratorens computer.
Højreklik på Inside Hosts og gå til fanen Flow Table.
Klik på Filter og indstil de nødvendige parametre. For eksempel:
- Dato/Tid — For de sidste 3 dage
- Ydelse — Gennemsnitlig Round Trip Time >=50ms
Efter at have fremvist dataene, skal du tilføje de RTT- og SRT-felter, vi er interesserede i. For dette skal du klikke på kolonnen på skærmbilledet og højreklikke for at vælge Administrer kolonner. Klik derefter på RTT- og SRT-parametrene.
Efter behandlingen af anmodningen sorterede jeg efter gennemsnitlig RTT og så de langsomste interaktioner.
For at få detaljeret information skal du højreklikke på strømmen og vælge Hurtig visning for Flow.
Disse oplysninger indikerer, at værten 10.201.3.59 fra gruppen Sales and Marketing via protokollen NFS tilgår DNS-serveren i 1 minut og 23 sekunder og har en forfærdelig forsinkelse. I fanen Interfaces kan du finde ud af, hvilken Netflow-eksportør dataene stammer fra. I fanen Table vises mere detaljerede oplysninger om interaktionen.
Dernæst skal du finde ud af, hvilke enheder der sender trafik til FlowSensor, og problemet ligger sandsynligvis der.
Desuden er StealthWatch unikt, fordi det udfører deduplikation data (sammenlægger de samme strømme). Derfor kan man indsamle data fra næsten alle Netflow-enheder uden at frygte for meget overlap. Tværtimod vil denne metode hjælpe med at forstå, hvor der er størst forsinkelse på den enkelte hop.
3. Revision af HTTPS-kryptografiske protokoller
ETA (Encrypted Traffic Analytics) — en teknologi udviklet af Cisco, der muliggør opdagelse af ondsindede forbindelser i krypteret trafik uden dekryptering. Desuden gør teknologien det muligt at "analysere" HTTPS på versioner af TLS og de kryptografiske protokoller, der anvendes ved forbindelser. Denne funktionalitet er særligt nyttig, når man skal finde netværksnoder, der bruger svage kryptostandarder.
Bemærk: det skal først installeres en netværksapp på StealthWatch — ETA Kryptografisk Revision.
Vi går til fanen Dashboards → ETA Kryptografisk Revision og vælg den gruppe af værter, der skal analyseres. For et overblik vælger vi Inside Hosts.
Det kan observeres, at versionen af TLS og den tilsvarende kryptostandard vises. I den velkendte oversigt i kolonnen Handlinger går vi til Se Strømme og søgningen startes i en ny fane.
Af outputtet fremgår det, at værten 198.19.20.136 i løbet af 12 timer har brugt HTTPS med TLS 1.2, hvor krypteringsalgoritmen AES-256 og hash-funktionen SHA-384. På denne måde kan ETA finde svage algoritmer i netværket.
4. Analyse af anomalier i netværket
Cisco StealthWatch kan genkende anomalier i netværkstrafik ved hjælp af tre værktøjer: Kernebegivenheder (sikkerhedshændelser), Forholdsbegivenheder (hændelser mellem segmente, netværksnoder) og adfærdsanalyse.
Adfærdsanalysen gør det muligt at opbygge en adfærdsmønster over tid for en given vært eller gruppe af værter. Jo mere trafik der går gennem StealthWatch, jo mere præcise vil alarmene være takket være denne analyse. I starten vil systemet ofte udløse falske alarmer, så reglerne bør "justeres" manuelt. Jeg anbefaler, at man ignorerer sådanne hændelser de første par uger, da systemet selv vil justere sig, eller tilføje dem til undtagelser.
Nedenfor ses et eksempel på en forudindstillet regel Anomali, hvor det angives, at hændelsen vil udløse uden alarm, hvis værten i gruppen Inside Hosts interagerer med gruppen Inside Hosts, og trafikken overstiger 10 megabyte i løbet af 24 timer..
Som eksempel kan vi tage alarmen Data Hoarding, som betyder, at en eller anden kilde/destination vært har uploadet/downloadet en unormalt stor mængde data fra en gruppe værter eller en vært. Klik på begivenheden og dyk ned i tabellen, hvor de udløsende værter angives. Vælg derefter den vært, vi er interesseret i, i kolonnen Data Hoarding.
Der vises en begivenhed, der fortæller, at der er fundet 162k 'point', mens politikken tillader 100k 'point' - dette er interne målinger fra StealthWatch. I kolonnen Handlinger klik Se Strømme.
Vi kan observere, at denne vært om natten interagerede med værten 10.201.3.47 fra afdelingen Sales & Marketing via protokollen HTTPS og downloadede 1,4 GB. Måske er dette eksempel ikke helt heldigt, men detektion af interaktioner på flere hundrede gigabyte udføres på akkurat samme måde. Derfor kan videre undersøgelse af anomalier føre til interessante resultater.
Bemærk: i SMC's webgrænseflade vises dataene under fanerne Dashboards kun for den seneste uge, og under fanen Monitor for de sidste 2 uger. For at analysere begivenheder, der er ældre, og for at generere rapporter, skal du arbejde med java-konsollen på administratorens computer.
5. Find indre netværksscanninger
Lad os nu se på nogle eksempler på feeds - hændelser om it-sikkerhed. Denne funktionalitet er mere interessant for sikkerhedseksperter.
Der er flere forudindstillede typer af scanningsbegivenheder i StealthWatch:
- Port Scan - kilden scanner mange porte på målknuden.
- Addr tcp scan - kilden scanner et helt netværk ved hjælp af den samme TCP-port, mens den ændrer destinationens IP-adresse. Kilden modtager TCP Reset-pakker eller modtager slet ikke svar.
- Addr udp scan - kilden scanner et helt netværk ved hjælp af den samme UDP-port, mens den ændrer destinationens IP-adresse. Kilden modtager ICMP Port Unreachable-pakker eller modtager slet ikke svar.
- Ping Scan - kilden sender ICMP-anmodninger til et helt netværk med henblik på at finde svar.
- Stealth Scan tcp/udp - kilden har brugt den samme port til at oprette forbindelse til mange porte på målknuden på samme tid.
For lettere at finde alle interne scannere på én gang, findes der en netværksapp til StealthWatch - Visibility Assessment. Når du går til fanen Dashboards → Visibility Assessment → Internal Network Scanners vil du se sikkerhedshændelser, der vedrører scanning, fra de sidste 2 uger.
Klik på knappen Detaljer, vil begyndelsen af scanning af hvert netværk, trafiktrends og relevante alarmer være synlige.
Derefter kan du "dykke ned" i værten fra fanen på det tidligere screenshot og se sikkerhedshændelser samt aktivitet for den seneste uge for denne vært.
Som et eksempel vil vi analysere hændelsen Port Scan fra vært 10.201.3.149 og få en fungerende kommando. 10.201.0.72, ved at klikke på Actions > Associated Flows. Søgning i strømme starter, og relevant information vises.
Som vi ser, har denne vært fra sin port 51508/TCP scannet målværten for porte 22, 28, 42, 41, 36, 40 (TCP). Nogle felter viser ikke information, enten fordi ikke alle Netflow-felter understøttes af Netflow-udsenderen.
6. Analyse af downloaderede malware ved hjælp af CTA
CTA (Cognitive Threat Analytics) – cloudanalyse fra Cisco, der integreres fantastisk med Cisco StealthWatch og muliggør at supplere signaturubaseret analyse med signaturbaseret. Dermed bliver det muligt at opdage trojanere, netværksorme, zero-day trusler og anden malware samt deres spredning inden for netværket. Desuden gør den tidligere nævnte ETA-teknologi det muligt at analysere sådanne skadelige kommunikationer i krypteret trafik.
Lige på det første faneblad i webgrænsefladen er der et særligt widget Cognitive Threat Analytics. Den korte opsummering fortæller om de opdagede trusler på brugerens værter: trojanere, svindelsoftware, uønsket reklameprogram. Ordet "Encrypted" indikerer netop ETA's funktion. Ved at klikke på værten vises al information, herunder sikkerhedshændelser og logs for CTA.
Ved at føre musen over hvert trin i CTA vises detaljeret information om interaktionen. For fuld analyse er det værd at klikke på View Incident Details, og du vil blive ført til en separat konsol. Cognitive Threat Analytics.
I øverste højre hjørne giver filteret mulighed for at vise hændelser efter kritikalitetsniveau. Når du holder musen over en specifik anomali, vises logs med den tilsvarende tidslinje til højre nederst på skærmen. Dermed forstår specialist i informationssikkerhed præcist, hvilken inficeret vært der begyndte at udføre hvilke handlinger efter hvilke handlinger.
Nedenfor vises et andet eksempel — en banktrojaner, der inficerede værten 198.19.30.36. Denne vært begyndte at interagere med skadelige domæner, og i logs vises information om strømme af denne interaktion.
Et af de bedste løsninger, der kan anvendes, er at isolere en host i karantæne ved hjælp af native med Cisco ISE for yderligere behandling og analyse.
Konklusion
Cisco StealthWatch-løsningen er en af lederne blandt netværksovervågningsprodukter både med hensyn til netværksanalyse og informationssikkerhed. Den gør det muligt at opdage illegitime interaktioner i netværket, applikationsforsinkelser, de mest aktive brugere, anomalier, malware og APT. Desuden kan man finde scanninger, penetrationstestere, udføre kryptorevision af HTTPS-trafik. Flere brugsscenarier finder du i .
Hvis du har lyst til at tjekke, hvor godt og effektivt dit netværk fungerer, kan du sende en .
Inden længe planlægger vi flere tekniske publikationer om forskellige informationssikkerhedsprodukter. Hvis du er interesseret i dette emne, så hold øje med opdateringer på vores kanaler (, , , )!
Kilde: habr.com
