{"id":90228,"date":"2020-07-30T01:42:34","date_gmt":"2020-07-29T23:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3"},"modified":"2020-07-30T01:42:34","modified_gmt":"2020-07-29T23:42:34","slug":"stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","title":{"rendered":"StealthWatch: analyse og efterforskning af h\u00e6ndelser. Del 3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"StealthWatch:
\n
\nCisco StealthWatch<\/a><\/noindex> er en analyse-l\u00f8sning inden for informationssikkerhed, der sikrer omfattende overv\u00e5gning af trusler i et distribueret netv\u00e6rk. StealthWatch fungerer ved at indsamle NetFlow og IPFIX fra rutere, switche og andre netv\u00e6rksenheder. Dette g\u00f8r netv\u00e6rket til en f\u00f8lsom sensor, der giver administratoren mulighed for at se steder, hvor traditionelle netv\u00e6rksbeskyttelsesmetoder, s\u00e5som Next Generation Firewall, ikke kan n\u00e5.<\/p>\n

I tidligere artikler har jeg allerede skrevet om StealthWatch: f\u00f8rste pr\u00e6sentation og funktioner<\/a><\/noindex>, samt implementering og ops\u00e6tning<\/a><\/noindex>. Nu foresl\u00e5r jeg, vi g\u00e5r videre og diskuterer, hvordan man skal h\u00e5ndtere alarmer og unders\u00f8ge sikkerhedsh\u00e6ndelser, der genereres af l\u00f8sningen. Der vil blive pr\u00e6senteret 6 eksempler, som jeg h\u00e5ber vil give et godt indtryk af produktets nyttighed.
\n<\/a><\/noindex>
\nF\u00f8rst skal det n\u00e6vnes, at StealthWatch har en vis fordeling af h\u00e6ndelser mellem algoritmer og feeds. De f\u00f8rste er forskellige typer alarmer (notifikationer), hvor man ved aktivering kan opdage mist\u00e6nkelige aktiviteter i netv\u00e6rket. De sidstn\u00e6vnte er sikkerhedsh\u00e6ndelser. I denne artikel vil der blive set p\u00e5 4 eksempler p\u00e5 algoritmelarm og 2 eksempler p\u00e5 feeds.<\/p>\n

1. Analyse af de mest omfattende interaktioner i netv\u00e6rket<\/h2>\n

\nDet f\u00f8rste skridt ved ops\u00e6tning af StealthWatch er at definere v\u00e6rter og netv\u00e6rk i grupper. I webgr\u00e6nsefladen finder du fanen Configure > Host Group Management<\/i> , hvor netv\u00e6rk, v\u00e6rter, servere skal fordeles i de relevante grupper. Grupper kan ogs\u00e5 oprettes selv. For \u00f8vrigt er analysen af interaktioner mellem v\u00e6rter i Cisco StealthWatch ganske praktisk, da man ikke kun kan gemme s\u00f8gefiltre for str\u00f8mme, men ogs\u00e5 resultaterne.<\/p>\n

For at starte skal man g\u00e5 til fanen i webgr\u00e6nsefladen Analyze > Flow Search<\/i>. Derefter skal f\u00f8lgende parametre s\u00e6ttes:<\/p>\n