{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analyse af krypteret trafik uden at dekryptere den","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

System til trafikanalyse uden at dekryptere den. Denne metode kaldes simpelt hen - 'maskinl\u00e6ring'. Det viste sig, at hvis man til en speciel klassifikator giver en meget stor m\u00e6ngde forskellig trafik, kan systemet med en meget h\u00f8j sandsynlighed detektere handlinger fra ondsindet kode inden i den krypterede trafik.<\/p>\n

<\/p>\n

\"Analyse<\/p>\n

<\/a><\/noindex><\/p>\n

Netv\u00e6rkstruslerne har \u00e6ndret sig og blevet 'smart'. I den seneste tid har selve konceptet for angreb og beskyttelse \u00e6ndret sig. Antallet af h\u00e6ndelser i nettet er steget mange gange. Angrebene er blevet mere sofistikerede, og hackerne har f\u00e5et en bredere r\u00e6kkevidde af angreb.<\/p>\n

<\/p>\n

If\u00f8lge statistik fra Cisco for\u00f8ger cyberkriminelle antallet af ondsindede programmer, de bruger til deres aktiviteter, med 3 gange det seneste \u00e5r, mere pr\u00e6cist til at skjule deres aktivitet \u2013 kryptering. Fra teorien ved vi, at en 'korrekt' krypteringsalgoritme ikke kan blive brudt. For at forst\u00e5, hvad der gemmer sig inden i den krypterede trafik, skal man enten dekryptere den med en n\u00f8gle, fors\u00f8ge at dekryptere den med forskellige tricks, eller brute-force angreb, eller bruge nogle s\u00e5rbarheder i kryptografiske protokoller.<\/p>\n

<\/p>\n

\"Analyse
\nBilledet af nutidens netv\u00e6rkstrusler<\/em><\/p>\n

<\/p>\n

Maskinl\u00e6ring<\/h3>\n

<\/p>\n

Kend teknologien i ansigtet! F\u00f8r vi taler om, hvordan selve dekrypteringsteknologien baseret p\u00e5 maskinl\u00e6ring fungerer, er det n\u00f8dvendigt at forst\u00e5, hvordan neuronnetv\u00e6rksteknologien fungerer.<\/p>\n

<\/p>\n

Maskinl\u00e6ring (Machine Learning) er en omfattende underkategori af kunstig intelligens, der studerer metoder til at opbygge algoritmer, der kan l\u00e6re. Denne videnskab sigter mod at skabe matematiske modeller for 'l\u00e6ring' af computeren. M\u00e5let med l\u00e6ringen er at forudsige noget. P\u00e5 menneskeligt forst\u00e5eligt plan kalder vi denne proces 'visdom'. \u00abvisdom\u00bb<\/em>. Visdom viser sig hos mennesker, der har levet l\u00e6nge nok (et barn p\u00e5 2 \u00e5r kan ikke v\u00e6re klogt). N\u00e5r vi beder vores \u00e6ldre venner om r\u00e5d, giver vi dem nogen information om en h\u00e6ndelse (input) og beder om hj\u00e6lp. De husker p\u00e5 deres livssituationer, der har en eller anden forbindelse til dit problem (vidensbase) og giver os, p\u00e5 basis af denne viden (data), en form for forudsigelse (r\u00e5d). Denne type r\u00e5d kaldes forudsigelser, fordi personen der giver r\u00e5det ikke ved med sikkerhed, hvad der vil ske, men kun antager det. Livserfaring viser, at en person kan have ret, men kan ogs\u00e5 tage fejl.<\/p>\n

<\/p>\n

Det er ikke hensigtsm\u00e6ssigt at sammenligne neurale netv\u00e6rk med et forgreningsalgoritme (if-else). Det er forskellige ting, og der er v\u00e6sentlige forskelle mellem dem. Forgreningsalgoritmen har en klar 'forst\u00e5else' af, hvad den skal g\u00f8re. Jeg vil demonstrere med eksempler.<\/p>\n

<\/p>\n

Opgave. Bestem bremseafstand for en bil baseret p\u00e5 dens m\u00e6rke og \u00e5rsmodel.<\/p>\n

<\/p>\n

Eksempel p\u00e5 forgreningsalgoritmens arbejde. Hvis bilen er m\u00e6rke 1 og produceret i 2012, s\u00e5 er dens bremseafstand 10 meter, ellers, hvis bilen er m\u00e6rke 2 og produceret i 2011, og s\u00e5 videre.<\/p>\n

<\/p>\n

Eksempel p\u00e5 et neuralt networks arbejde. Vi indsamler data om bremseafstande for biler de sidste 20 \u00e5r. Basere p\u00e5 m\u00e6rke og \u00e5r laver vi en tabel med formatet 'm\u00e6rke-\u00e5rsmodel-bremseafstand'. Vi giver denne tabel til det neurale netv\u00e6rk og begynder at tr\u00e6ne det. Tr\u00e6ningen foreg\u00e5r p\u00e5 f\u00f8lgende m\u00e5de: vi indtaster data i det neurale netv\u00e6rk, men uden bremseafstanden. Neurale netv\u00e6rk fors\u00f8ger at forudsige, hvad bremseafstanden vil v\u00e6re, baseret p\u00e5 den indl\u00e6ste tabel. Det forudsiger noget og stiller sp\u00f8rgsm\u00e5let til brugeren: 'Har jeg ret?'. F\u00f8r sp\u00f8rgsm\u00e5let skaber den en fjerde kolonne \u2013 g\u00e6ttende kolonne. Hvis den har ret, skriver den 1 i den fjerde kolonne, hvis den tager fejl, skriver den 0. Det neurale netv\u00e6rk g\u00e5r videre til den n\u00e6ste h\u00e6ndelse (selv hvis den tager fejl). S\u00e5dan l\u00e6rer netv\u00e6rket, og n\u00e5r tr\u00e6ningen er afsluttet (n\u00e5r en bestemt konvergenskriterie er n\u00e5et), giver vi data om den bil, vi er interesseret i, og f\u00e5r endelig et svar.<\/p>\n

<\/p>\n

For at fjerne sp\u00f8rgsm\u00e5let om konvergenskriteriet, forklarer jeg, at det er en matematisk afledt formel for statistik. Et klart eksempel p\u00e5 to forskellige konvergensformler. Den r\u00f8de \u2013 bin\u00e6r konvergens, den bl\u00e5 \u2013 normal konvergens.<\/p>\n

<\/p>\n

\"Analyse
\nBinomiale og normale sandsynlighedsfordelinger<\/em><\/p>\n

<\/p>\n

For at g\u00f8re det klarere, stil sp\u00f8rgsm\u00e5let \"Hvad er sandsynligheden for at m\u00f8de en dinosaur?\" Her er der 2 svarmuligheder. Mulighed 1 \u2013 meget lille (bl\u00e5 graf). Mulighed 2 \u2013 enten m\u00f8der jeg den, eller ogs\u00e5 g\u00f8r jeg ikke (r\u00f8d graf).<\/p>\n

<\/p>\n

Selvf\u00f8lgelig er computeren ikke et menneske, og den l\u00e6rer p\u00e5 en anden m\u00e5de. Der skelnes mellem 2 typer undervisning af den 'jernhest', - pr\u00e6cedensbaseret l\u00e6ring<\/strong> og deduktiv l\u00e6ring<\/strong>.<\/p>\n

<\/p>\n

Pr\u00e6cedensbaseret l\u00e6ring er en metode til l\u00e6ring baseret p\u00e5 matematiske love. Matematikere indsamler statistik tabeller, drager konklusioner og uploader resultatet til det neurale netv\u00e6rk \u2013 en formel til beregning.<\/p>\n

<\/p>\n

Deduktiv l\u00e6ring \u2013 l\u00e6ring foreg\u00e5r helt inden i det neurale netv\u00e6rk (fra datainsamling til analyse). Her dannes en tabel uden formel, men med statistik.<\/p>\n

<\/p>\n

En bred oversigt over teknologien ville tage et par dusin artikler mere. Indtil videre er dette tilstr\u00e6kkeligt til en generel forst\u00e5else.<\/p>\n

<\/p>\n

Neuroplasticitet<\/h3>\n

<\/p>\n

Inden for biologi findes begrebet neuroplasticitet. Neuroplasticitet er neuroners (hjernecellers) evne til at handle 'i situationen'. For eksempel, n\u00e5r en person mister synet, h\u00f8rer de bedre lyde, f\u00f8ler dufte og fornemmer objekter bedre. Dette sker, fordi en del af hjernen (en del af neuronerne), der er ansvarlig for synet, omfordeler sit arbejde til andre funktioner.<\/p>\n

<\/p>\n

Et markant eksempel p\u00e5 neuroplasticitet i livet er BrainPort-slikken.<\/p>\n

<\/p>\n

I 2009 annoncerede University of Wisconsin-Madison udgivelsen af en ny enhed, der udviklede ideerne om \"sprogdisplayet\" - den fik navnet BrainPort. BrainPort fungerer efter en algoritme: videosignalet sendes fra kameraet til processoren, der styrer zoom, lysstyrke og andre billedparametre. Den konverterer ogs\u00e5 digitale signaler til elektriske impulser, hvilket reelt tager over for nethindens funktioner.<\/p>\n

<\/p>\n

\"Analyse
\nBrainPort-slik med briller og kamera<\/em><\/p>\n

<\/p>\n

\"Analyse
\nBrainPort i aktion<\/em><\/p>\n

\n

\r\n \"Afspil\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Det samme g\u00e6lder for computeren. Hvis det neurale netv\u00e6rk registrerer en \u00e6ndring i processen, tilpasser det sig. Dette er den afg\u00f8rende fordel ved neurale netv\u00e6rk sammenlignet med andre algoritmer - autonomi. En slags menneskelighed.<\/p>\n

<\/p>\n

Encrypted Traffic Analytics<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics er en del af Stealthwatch-systemet. Stealthwatch er en l\u00f8sning fra Cisco inden for overv\u00e5gning og sikkerhedsanalytik, der bruger telemetridata fra eksisterende netv\u00e6rksinfrastruktur.<\/p>\n

<\/p>\n

Stealthwatch Enterprise best\u00e5r af v\u00e6rkt\u00f8jerne Flow Rate License, Flow Collector, Management Console og Flow Sensor.<\/p>\n

<\/p>\n

\"Analyse
\nCisco Stealthwatch Interface<\/em><\/p>\n

<\/p>\n

Problemet med kryptering er blevet meget presserende, da m\u00e6ngden af krypteret trafik er steget betydeligt. Tidligere blev kun koden krypteret (prim\u00e6rt), men nu krypteres al trafik, hvilket g\u00f8r det meget sv\u00e6rere at adskille \"rene\" data fra vira. Et tydeligt eksempel er WannaCry, som brugte Tor til at skjule sin tilstedev\u00e6relse p\u00e5 nettet.<\/p>\n

<\/p>\n

\"Analyse
\nVisualisering af stigningen i krypteret trafik p\u00e5 nettet<\/em><\/p>\n

<\/p>\n

\"Analyse
\nKryptering i makro\u00f8konomien<\/em><\/p>\n

<\/p>\n

Systemet Encrypted Traffic Analytics (ETA) er netop n\u00f8dvendigt for at arbejde med krypteret trafik uden at skulle dekryptere den. Kriminelle er intelligente og bruger kryptografisk robuste krypteringsalgoritmer; at bryde dem er ikke kun et problem, men ogs\u00e5 en enorm omkostning for organisationer.<\/p>\n

<\/p>\n

Systemet fungerer p\u00e5 f\u00f8lgende m\u00e5de. Trafik kommer til virksomheden. Den g\u00e5r ind i TLS (transport layer security \u2014 en protokol til transportbeskyttelse). Antag, at trafikken er krypteret. Vi fors\u00f8ger at besvare en r\u00e6kke sp\u00f8rgsm\u00e5l om, hvilken forbindelse der er blevet etableret.<\/p>\n

<\/p>\n

\"Analyse
\nPrincipperne for Encrypted Traffic Analytics (ETA) systemet<\/em><\/p>\n

<\/p>\n

For at besvare disse sp\u00f8rgsm\u00e5l bruger vi maskinl\u00e6ring i dette system. Der anvendes Cisco-forskning, og baseret p\u00e5 denne forskning oprettes en tabel med to resultater \u2013 ondsindet og \"god\" trafik. Selvf\u00f8lgelig ved vi ikke med sikkerhed, hvilken trafik der er tr\u00e5dt ind i systemet i det aktuelle \u00f8jeblik, men vi kan spore trafikhistorikken b\u00e5de inden for og uden for virksomheden ved hj\u00e6lp af data fra den globale arena. Ved afslutningen af dette trin f\u00e5r vi en enorm tabel med data.<\/p>\n

<\/p>\n

Resultaterne af unders\u00f8gelsen viser karakteristiske tr\u00e6k \u2013 bestemte regler, der kan nedskrives i matematisk form. Disse regler vil variere betydeligt afh\u00e6ngigt af forskellige kriterier \u2013 st\u00f8rrelsen af de overf\u00f8rte filer, typen af forbindelse, det land, hvormed trafikken kommer fra, osv. Som et resultat af arbejdet er den enorme tabel blevet til et s\u00e6t af formlerne. De er blevet f\u00e6rre, men det er ikke nok til komfortabelt arbejde.<\/p>\n

<\/p>\n

Dern\u00e6st anvendes teknologien til maskinl\u00e6ring \u2013 konvergensen af formlen, og som et resultat af konvergensen f\u00e5r vi en trigger \u2013 en omskifter, hvor vi ved udgangen af dataene f\u00e5r en afbryder (flag) i h\u00e6vet eller s\u00e6nket position.<\/p>\n

<\/p>\n

Det resulterende trin \u2013 opn\u00e5else af et s\u00e6t af triggere, der d\u00e6kker 99 % af trafikken.<\/p>\n

<\/p>\n

\"Analyse
\nTrinene til trafikverificering i ETA<\/em><\/p>\n

<\/p>\n

Som et resultat af arbejdet l\u00f8ses endnu et problem \u2013 angreb indefra. Der er ikke l\u00e6ngere brug for mennesker i midten, der manuelt filtrerer trafikken (i dette \u00f8jeblik underminerer jeg mig selv). For det f\u00f8rste er der ikke l\u00e6ngere behov for at bruge mange penge p\u00e5 en kvalificeret systemadministrator (jeg forts\u00e6tter med at underminere mig selv). For det andet er der ikke fare for indvendig hacking (i det mindste delvist).<\/p>\n

<\/p>\n

\"Analyse
\nFor\u00e6ldet koncept Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Lad os nu se p\u00e5, hvad systemet er baseret p\u00e5.<\/p>\n

<\/p>\n

Systemet arbejder p\u00e5 4 kommunikationsprotokoller: TCP\/IP \u2013 dataoverf\u00f8rselsprotokol p\u00e5 internettet, DNS \u2013 dom\u00e6nenavneserver, TLS \u2013 transportlagbeskyttelsesprotokol, SPLT (SpaceWire Physical Layer Tester) \u2013 tester af det fysiske kommunikationslag.<\/p>\n

<\/p>\n

\"Analyse
\nProtokoller, der arbejder med ETA<\/em><\/p>\n

<\/p>\n

Sammenligningen sker ved at matche data. Protokollen TCP\/IP kontrollerer hjemmesiders omd\u00f8mme (historik over bes\u00f8gende, form\u00e5l med hjemmesiden osv.), takket v\u00e6re DNS-protokollen kan vi udelukke 'd\u00e5rlige' webadresser. TLS-protokollen arbejder med hjemmesidens 'fingeraftryk' og kontrollerer hjemmesiden mod databasen for computergrupper til respons ved n\u00f8dsituationer (cert). Det sidste trin i forbindelse med verificering er kontrol p\u00e5 det fysiske niveau. Detaljerne i dette trin er ikke specificeret, men meningen er f\u00f8lgende: kontrol af sinus- og cosinuskurver for dataoverf\u00f8rsel p\u00e5 oscilloskopinstallationer, det vil sige, ved hj\u00e6lp af strukturen af anmodningen p\u00e5 det fysiske niveau, bestemmer vi m\u00e5let for forbindelsen.<\/p>\n

<\/p>\n

Som f\u00f8lge af systemets arbejde kan vi udtr\u00e6kke data fra krypteret trafik. Ved at studere pakker kan vi l\u00e6se maksimal information fra de ukrypterede felter i selve pakken. Gennem pakkeinspektion p\u00e5 det fysiske niveau kan vi finde ud af pakkeegenskaberne (delvist eller helt). Desuden skal vi ikke glemme hjemmesiders omd\u00f8mme. Hvis en anmodning kommer fra en .onion kilde, b\u00f8r man ikke stole p\u00e5 den. For at lette arbejdet med denne slags data er der oprettet et risikokort.<\/p>\n

<\/p>\n

\"Analyse
\nResultatet af ETA-arbejdet<\/em><\/p>\n

<\/p>\n

Og alt virkede tilsyneladende godt, men lad os tale om implementeringen af netv\u00e6rket.<\/p>\n

<\/p>\n

Den fysiske realisering af ETA<\/h3>\n

<\/p>\n

Her opst\u00e5r der en r\u00e6kke nuancer og detaljer. For det f\u00f8rste, n\u00e5r man opretter denne slags
\nnetv\u00e6rk med h\u00f8j-niveau software, er datainsamling n\u00f8dvendig. At indsamle data manuelt er helt
\nvildt, og at implementere et respons system er allerede mere interessant. For det andet skal der v\u00e6re
\nmasser af data, hvilket betyder, at de installerede sensorer i netv\u00e6rket skal fungere
\nikke kun autonomt, men ogs\u00e5 i en fintunet tilstand, hvilket giver en r\u00e6kke vanskeligheder.<\/p>\n

<\/p>\n

\"Analyse
\nSensorer og Stealthwatch-systemet<\/em><\/p>\n

<\/p>\n

At s\u00e6tte en sensor op er en ting, men at konfigurere den er en helt anden opgave. Til konfiguration af sensorer eksisterer der et kompleks, der arbejder efter f\u00f8lgende topologi \u2013 ISR = router med Cisco Service Integration (Cisco Integrated Services Router); ASR = router med Cisco Service Aggregation (Cisco Aggregation Services Router); CSR = router til Cisco Cloud Services (Cisco Cloud Services Router); WLC = controller for Cisco tr\u00e5dl\u00f8se lokale netv\u00e6rk (Cisco Wireless LAN Controller); IE = Cisco industrielt Ethernet-switch (Cisco Industrial Ethernet); ASA = Cisco adaptiv sikkerhedsenhed (Cisco Adaptive Security Appliance); FTD = Cisco Firepower Threat Defense l\u00f8sning; WSA = web trafik sikkerhedsenhed (Web Security Appliance); ISE = identitetstjeneste modul (Identity Services Engine)<\/p>\n

<\/p>\n

\"Analyse
\nOmfattende overv\u00e5gning med hensyn til alle telemetridata<\/em><\/p>\n

<\/p>\n

Netv\u00e6rksadministratorer f\u00e5r arytmi af m\u00e6ngden af ord som \"Cisco\" i det foreg\u00e5ende afsnit. Prisen for dette mirakel er ikke lille, men det er ikke det, vi taler om i dag...<\/p>\n

<\/p>\n

Simulation of hacker behavior will occur as follows. Stealthwatch carefully monitors the activity of each device on the network and is capable of creating a pattern of normal behavior. Moreover, this solution provides a deep understanding of known inappropriate behavior. Approximately 100 different analysis algorithms or heuristic rules are used within this solution, which relate to various types of traffic behavior, such as scanning, transmission of emergency alert frames from a node, brute-force login attempts, presumed data capture, presumed data leakage, etc. The listed security events fall under the category of high-level logical alerts. Some security events may also trigger alerts by themselves. Thus, the system is capable of correlating numerous isolated anomalous incidents and consolidating them to identify a potential type of attack, as well as linking it to a specific device and user (Figure 2). The incident can then be analyzed over time with consideration of related telemetry data. This constitutes contextual information at its finest. Doctors examining a patient to understand what happened do not consider symptoms in isolation. They study the overall picture to make a diagnosis. Similarly, Stealthwatch records every anomalous activity in the network and examines it comprehensively to send alerts taking context into account, thereby helping security specialists prioritize risks.<\/p>\n

<\/p>\n

\"Analyse
\nAnomaly detection through behavior modeling<\/em><\/p>\n

<\/p>\n

The physical deployment of the network looks like this:<\/p>\n

<\/p>\n

\"Analyse
\nBranch network deployment option (simplified)<\/em><\/p>\n

<\/p>\n

\"Analyse
\nBranch network deployment option<\/em><\/p>\n

<\/p>\n

The network is deployed, but there remains an open question about the neural network. A data transmission network has been organized, sensors have been installed at thresholds, and an information collection system has been launched, but the neural network has not yet participated in the process.<\/p>\n

<\/p>\n

Multi-layer neural network<\/h3>\n

<\/p>\n

Systemet analyserer brugerens og enhedens adf\u00e6rd for at identificere skadelig infektion, kommunikation med kommandoserver, datal\u00e6kager og potentielt u\u00f8nskede applikationer, der k\u00f8rer i organisationens infrastruktur. Der findes flere niveauer af databehandling, hvor kombinationer af kunstig intelligens, maskinl\u00e6ring og matematisk statistik hj\u00e6lper netv\u00e6rket med at selvudvikle sin normale aktivitet, s\u00e5 det kan identificere skadelig aktivitet.<\/p>\n

<\/p>\n

Den sikkerhedsanalyse-pipeline, der indsamler telemetridata fra alle dele af det udvidede netv\u00e6rk, inklusive krypteret trafik, er en unik funktion ved Stealthwatch. Den opbygger trin for trin en forst\u00e5else af, hvad der er 'anomalt', klassificerer derefter de faktiske enkeltelementer af 'trusselfunktioner', og tr\u00e6ffer til sidst en endelig beslutning om, hvorvidt en enhed eller bruger faktisk er blevet kompromitteret. Evnen til at samle sm\u00e5 dele, der tilsammen danner bevis for at tr\u00e6ffe en endelig beslutning om kompromitteringen af et objekt, opn\u00e5s gennem en meget grundig analyse og korrelation.<\/p>\n

<\/p>\n

Denne evne er vigtig, da en standard virksomhed kan modtage et enormt antal alarmsignaler dagligt, og det er umuligt at unders\u00f8ge hver enkelt - ressourcerne for sikkerhedsspecialister er begr\u00e6nsede. Maskinl\u00e6ringsmodulet behandler enorme m\u00e6ngder information n\u00e6sten i realtid for at identificere kritiske h\u00e6ndelser med h\u00f8j grad af sikkerhed og er ogs\u00e5 i stand til at foresl\u00e5 klare handlingsforl\u00f8b for hurtig l\u00f8sning.<\/p>\n

<\/p>\n

Lad os tage et n\u00e6rmere kig p\u00e5 de mange metoder til maskinl\u00e6ring, der anvendes af Stealthwatch. N\u00e5r en h\u00e6ndelse overf\u00f8res til Stealthwatch's maskinl\u00e6ringsmodul, passerer den gennem en sikkerhedsanalyse-tragt, hvor en kombination af superviseret og unsuperviseret maskinl\u00e6ring anvendes.<\/p>\n

<\/p>\n

\"Analyse
\nFunktioner i flerlagret maskinl\u00e6ring<\/em><\/p>\n

<\/p>\n

Niveau 1. Anomalidetektion og tillidsmodellering<\/h3>\n

<\/p>\n

P\u00e5 dette niveau udelukkes 99 % af trafikken ved hj\u00e6lp af statistiske anomali-detektorer. De angivne sensorer danner i f\u00e6llesskab komplekse modeller af, hvad der er normalt, og hvad der derimod er unormalt. Dog er unormalt ikke n\u00f8dvendigvis skadelig. Meget af det, der sker i dit netv\u00e6rk, har ikke noget med trusler at g\u00f8re \u2014 det er blot m\u00e6rkeligt. Det er vigtigt at klassificere s\u00e5danne processer uden hensyn til truende adf\u00e6rd. Af denne grund gennemg\u00e5r resultaterne fra s\u00e5danne detektorer en yderligere analyse for at registrere m\u00e6rkelig adf\u00e6rd, som samtidig kan forklares og som man kan have tillid til. I sidste ende er det kun en lille del af de mest vigtige str\u00f8mme og foresp\u00f8rgsler, der g\u00e5r videre til niveau 2 og 3. Uden disse metoder til maskinl\u00e6ring ville driftsomkostningerne ved at adskille signalet fra st\u00f8jen v\u00e6re for h\u00f8je.<\/p>\n

<\/p>\n

Anomali-detection.<\/strong> I f\u00f8rste fase anvendes statistiske metoder til maskinl\u00e6ring til at adskille statistisk normal trafik fra anomali ved anomali-detectering. Mere end 70 separate detektorer behandler telemetridata, der indsamles af Stealthwatch om den trafik, der passerer gennem dit netv\u00e6rks perimetre, og adskiller eventuel intern trafik af dom\u00e6ne navnesystemet (DNS) og proxyserverdata. Hver foresp\u00f8rgsel behandles af mere end 70 detektorer, hvor hver detektor bruger sin egen statistiske algoritme til at danne en vurdering af de identificerede anomali. Disse vurderinger kombineres, og som et resultat af anvendelsen af \u200b\u200bflere statistiske metoder opn\u00e5s en samlet vurdering for hver enkelt foresp\u00f8rgsel. Denne samlede vurdering anvendes derefter til at adskille normal og anomali trafik.<\/p>\n

<\/p>\n

Modelering af tillid.<\/strong> Derefter gruppes lignende foresp\u00f8rgsler, og den samlede vurdering af anomalier for disse grupper bestemmes som et langsigtet gennemsnit. Med tiden analyseres flere foresp\u00f8rgsler, hvilket muligg\u00f8r en mere pr\u00e6cis bestemmelse af det langsigtede gennemsnit og reducerer b\u00e5de falske positive og falske negative alarmer. Resultaterne af tillidsmodellering bruges til at v\u00e6lge et delm\u00e6ngde af trafik, hvis vurdering af anomalier overstiger et dynamisk fastsat t\u00e6rskelv\u00e6rdi, til at g\u00e5 videre til n\u00e6ste behandlingsniveau.<\/p>\n

<\/p>\n

Niveau 2. Klassificering af h\u00e6ndelser og objektsmodellering<\/h3>\n

<\/p>\n

P\u00e5 dette niveau foretages klassificering af resultaterne fra de tidligere trin, med tildeling til specifikke ondsindede h\u00e6ndelser. H\u00e6ndelseskategorisering udf\u00f8res baseret p\u00e5 de v\u00e6rdier, der tildeles af maskinl\u00e6ringsklassifikatorer for at sikre en konstant n\u00f8jagtighedsfaktor over 90%. Disse inkluderer:<\/p>\n

<\/p>\n