Ein System zur Analyse von Verkehr, ohne ihn zu entschlüsseln. Diese Methode nennt man einfach – „maschinelles Lernen“. Es hat sich gezeigt, dass ein spezieller Klassifikator, wenn er mit einer sehr großen Menge unterschiedlicher Daten gefüttert wird, mit sehr hoher Wahrscheinlichkeit die Aktivitäten von schädlichem Code innerhalb des verschlüsselten Verkehrs erkennen kann.
Netzwerkbedrohungen haben sich verändert und sind „intelligenter“ geworden. Konzeptionen von Angriff und Verteidigung haben sich in letzter Zeit gewandelt. Die Anzahl der Ereignisse im Netzwerk hat sich vervielfacht. Angriffe sind raffinierter geworden, und Hacker haben einen breiteren Angriffsspielraum.
Laut Cisco haben Angreifer in den letzten zwölf Monaten die Zahl ihrer schädlichen Programme, die sie für ihre Aktivitäten nutzen, um das Dreifache erhöht, insbesondere zur Verschleierung – durch Verschlüsselung. Aus der Theorie ist bekannt, dass ein „ordentlich“ implementierter Verschlüsselungsalgorithmus nicht geknackt werden kann. Um zu verstehen, was sich im Inneren des verschlüsselten Verkehrs verbirgt, muss man entweder entschlüsseln, indem man den Schlüssel kennt, oder versuchen, ihn mit verschiedenen Tricks zu entschlüsseln, oder brute-force Angriffe durchführen, oder Schwachstellen in den kryptografischen Protokollen ausnutzen.
Das Bild der Netzwerkbedrohungen unserer Zeit
Maschinelles Lernen
Erkennen Sie die Technologie! Bevor wir besprechen, wie die Technologie des maschinellen Lernens funktioniert, müssen wir die Funktionsweise von neuronalen Netzen klären.
Maschinelles Lernen (Machine Learning) ist ein umfangreicher Bereich der künstlichen Intelligenz, der sich mit Methoden zum Aufbau von Algorithmen beschäftigt, die lernen können. Dieses Fachgebiet ist darauf ausgerichtet, mathematische Modelle für das „Lernen“ von Computern zu schaffen. Das Ziel des Lernens ist die Vorhersage von irgendetwas. Im menschlichen Verständnis nennen wir diesen Prozess ‚ Weisheit‘. Weisheit zeigt sich bei Menschen, die viele Jahre gelebt haben (ein 2-jähriges Kind kann nicht weise sein). Wenn wir ältere Freunde um Rat fragen, geben wir ihnen Informationen über ein Ereignis (Eingaben) und bitten um Hilfe. Sie erinnern sich an alle Lebenssituationen, die mit Ihrem Problem verbunden sind (Wissensbasis), und auf Grundlage dieses Wissens (Daten) geben sie uns eine Art Vorhersage (Rat). Diese Art von Rat wird als Vorhersage bezeichnet, weil die Person, die den Rat gibt, nicht sicher weiß, was passieren wird, sondern nur vermutet. Lebenserfahrung zeigt, dass die Person recht haben kann, aber auch irren kann.
Es ist nicht richtig, neuronale Netze mit einem Verzweigungsalgorithmus (if-else) zu vergleichen. Das sind verschiedene Dinge und es gibt grundlegende Unterschiede zwischen ihnen. Der Verzweigungsalgorithmus hat ein klares „Verständnis“ darüber, was zu tun ist. Ich werde es anhand von Beispielen demonstrieren.
Aufgabe. Bestimmen Sie den Bremsweg eines Fahrzeugs anhand seiner Marke und des Baujahrs.
Beispiel für die Funktionsweise des Verzweigungsalgorithmus. Wenn das Auto der Marke 1 ist und im Jahr 2012 gebaut wurde, beträgt der Bremsweg 10 Meter; andernfalls, wenn das Auto der Marke 2 ist und im Jahr 2011 hergestellt wurde, und so weiter.
Beispiel für die Funktionsweise eines neuronalen Netzwerks. Wir sammeln Daten über Bremswege von Autos der letzten 20 Jahre. Nach Marke und Baujahr erstellen wir eine Tabelle mit dem Format „Marke-Baujahr-Bremsweg“. Diese Tabelle wird dem neuronalen Netzwerk übergeben, und wir beginnen mit dem Training. Das Training erfolgt folgendermaßen: Wir füttern das neuronale Netzwerk mit Daten, jedoch ohne den Bremsweg. Das Netzwerk versucht vorherzusagen, wie der Bremsweg aussehen wird, basierend auf der hochgeladenen Tabelle. Es macht eine Vorhersage und stellt dem Benutzer die Frage: „Liege ich richtig?“ Vor der Frage wird eine vierte Spalte erstellt – die Schätzspalte. Wenn es richtig liegt, trägt es eine 1 in die vierte Spalte ein, bei einem Fehler eine 0. Das neuronale Netzwerk geht zum nächsten Ereignis (auch wenn es falsch lag). So lernt das Netzwerk, und wenn das Training abgeschlossen ist (ein gewisses Konvergenzkriterium erreicht wurde), liefern wir die Daten zu dem Fahrzeug, das uns interessiert, und erhalten schließlich die Antwort.
Um die Frage nach dem Konvergenzkriterium zu klären, möchte ich erläutern, dass es sich um eine mathematisch abgeleitete Formel für Statistik handelt. Ein anschauliches Beispiel für zwei unterschiedliche Konvergenzformeln. Die rote Linie steht für die binäre Konvergenz, die blaue Linie für die normale Konvergenz.
Binomialverteilung und Normalverteilung
Um es besser zu verstehen, stellen Sie die Frage: „Wie hoch ist die Wahrscheinlichkeit, einen Dinosaurier zu treffen?“ Hier gibt es zwei Antwortmöglichkeiten. Möglichkeit 1 – sehr gering (blaue Grafik). Möglichkeit 2 – entweder ich treffe ihn oder nicht (rote Grafik).
Natürlich ist ein Computer kein Mensch und er lernt anders. Es gibt zwei Arten des Lernens für den Computer – Lernen nach Erfahrungen und deduktives Lernen.
Lernen nach Erfahrungen ist eine Lernmethode basierend auf mathematischen Gesetzmäßigkeiten. Mathematiker sammeln Statistiken, ziehen Schlussfolgerungen und laden das Ergebnis in das neuronale Netzwerk – die Formel zur Berechnung.
Beim deduktiven Lernen erfolgt das Lernen vollständig im neuronalen Netzwerk (von der Datensammlung bis zur Analyse). Hier wird eine Tabelle ohne Formel, aber mit Statistiken erstellt.
Ein umfassender Überblick über die Technologie würde noch einige Dutzend Artikel in Anspruch nehmen. Für unser allgemeines Verständnis genügt dies jedoch vorerst.
Neuroplastizität
In der Biologie gibt es das Konzept der Neuroplastizität. Neuroplastizität ist die Fähigkeit von Neuronen (Hirnzellen), schrittweise auf unterschiedliche Situationen zu reagieren. Zum Beispiel hat eine Person, die das Augenlicht verloren hat, ein besseres Gehör, empfindet intensiver Gerüche und spürt Objekte besser. Dies geschieht, weil der Teil des Gehirns, der für das Sehen zuständig ist, seine Funktionen auf andere Bereiche umschichtet.
Ein eindrucksvolles Beispiel für Neuroplastizität im Alltag ist das BrainPort.
Im Jahr 2009 kündigte die Universität Wisconsin in Madison die Einführung eines neuen Geräts an, das die Ideen eines "sprachlichen Displays" weiterentwickelt – es erhielt den Namen BrainPort. BrainPort funktioniert nach folgendem Prinzip: Das Videosignal wird von einer Kamera an einen Prozessor übertragen, der Zoom, Helligkeit und andere Bildparameter steuert. Zudem wandelt er digitale Signale in elektrische Impulse um und übernimmt damit praktisch die Funktionen der Netzhaut.
BrainPort-Lutscher mit Brille und Kamera
BrainPort in Aktion
Das Gleiche gilt für Computer. Wenn ein neuronales Netzwerk eine Veränderung im Prozess wahrnimmt, passt es sich entsprechend an. Das ist der entscheidende Vorteil neuronaler Netzwerke im Vergleich zu anderen Algorithmen – ihre Autonomie. Eine Art von Menschlichkeit.
Verschlüsselte Verkehrsanalytik
Verschlüsselte Verkehrsanalytik ist Teil des Stealthwatch-Systems. Stealthwatch ist eine Entwicklung von Cisco im Bereich Sicherheitsmonitoring und -analytik, die Unternehmensdaten aus der bestehenden Netzwerkinfrastruktur für die Telemetrie nutzt.
Die Grundlage von Stealthwatch Enterprise bilden die Werkzeuge Flow Rate License, Flow Collector, Management Console und Flow Sensor.
Benutzeroberfläche von Cisco Stealthwatch
Das Problem der Verschlüsselung ist akut geworden, da der Anteil an verschlüsseltem Traffic stark angestiegen ist. Früher wurde hauptsächlich Code verschlüsselt, jetzt wird jedoch der gesamte Traffic verschlüsselt, was die Trennung von 'sauberen' Daten und Viren erheblich erschwert. Ein eindrucksvolles Beispiel ist WannaCry, das Tor nutzte, um seine Präsenz im Netz zu verbergen.
Visualisierung des Anstiegs der Verschlüsselung im Traffic-Netzwerk
Verschlüsselung in der Makroökonomie
Das Encrypted Traffic Analytics (ETA) System ist unerlässlich für die Verarbeitung von verschlüsseltem Datenverkehr, ohne diesen zu entschlüsseln. Angreifer sind clever und setzen kryptographisch sichere Verschlüsselungsalgorithmen ein, deren Überwindung nicht nur ein Problem darstellt, sondern auch enorme Kosten für Unternehmen verursacht.
Das System funktioniert wie folgt: In das Unternehmen gelangt ein Datenverkehr. Dieser wird in TLS (Transport Layer Security — Protokoll für die Sicherheit auf der Transportebene) verarbeitet. Angenommen, der Datenverkehr ist verschlüsselt. Wir versuchen, mehrere Fragen zu beantworten, welcher Typ von Verbindung hier hergestellt wurde.
Funktionsweise des Encrypted Traffic Analytics (ETA) Systems
Um diese Fragen zu beantworten, nutzen wir maschinelles Lernen in diesem System. Es werden Untersuchungen von Cisco herangezogen und auf dieser Grundlage wird eine Tabelle mit zwei Ergebnissen erstellt – schädlicher und „guter“ Datenverkehr. Natürlich wissen wir nicht genau, welcher Datenverkehr aktuell ins System gelangt ist, aber wir können die Historie des Datenverkehrs sowohl innerhalb als auch außerhalb des Unternehmens anhand globaler Daten nachvollziehen. Am Ende dieser Phase erhalten wir eine umfangreiche Tabelle mit Daten.
Die Ergebnisse der Untersuchung zeigen charakteristische Merkmale – bestimmte Regeln, die mathematisch formuliert werden können. Diese Regeln können stark variieren, abhängig von verschiedenen Kriterien – der Größe der übertragene Dateien, der Art der Verbindung, dem Land, aus dem der Datenverkehr stammt, und so weiter. Infolge dieser Arbeit hat sich eine riesige Tabelle in eine Sammlung von Formeln verwandelt. Es sind weniger Formeln geworden, doch das ist nicht ausreichend für eine angenehme Nutzung.
Anschließend wird eine Technologie des maschinellen Lernens angewendet – die Konvergenz der Formel, und aus diesen Ergebnissen erhalten wir einen Trigger – einen Schalter, bei dem wir beim Ausgeben von Daten einen Schalter (Flag) entweder aktiviert oder deaktiviert haben.
Die resultierende Phase besteht darin, einen Satz von Triggern zu erhalten, die 99% des Datenverkehrs abdecken.
Phasen der Verkehrsüberprüfung im ETA
So wird ein weiteres Problem gelöst – interne Angriffe. Es sind keine Personen mehr erforderlich, die den Datenverkehr manuell filtern (damit schüre ich mein eigenes Unheil). Erstens sind teure Systemadministratoren nicht mehr nötig (ich schüre weiterhin mein eigenes Unglück). Zweitens gibt es keine Gefahr mehr von internen Hacks (zumindest teilweise).
Überholtes Konzept des Man-in-the-Middle
Lassen Sie uns nun untersuchen, auf welcher Basis das System beruht.
Das System basiert auf 4 Kommunikationsprotokollen: TCP/IP – das Protokoll für Datenübertragung im Internet, DNS – der Domain Name Server, TLS – das Protokoll für Transportsicherheit, SPLT (SpaceWire Physical Layer Tester) – der Tester für die physische Kommunikationsebene.
Protokolle, die mit ETA arbeiten
Der Vergleich erfolgt durch den Abgleich von Daten. Über die TCP/IP-Protokolle wird der Ruf von Websites überprüft (Besuchsverlauf, Zweck der Website usw.). Dank des DNS-Protokolls können wir "schlechte" Website-Adressen herausfiltern. Das TLS-Protokoll arbeitet mit den "Fingerprint"-Daten der Website und prüft sie anhand einer Datenbank von Computer Emergency Response Teams (CERT). Der letzte Schritt der Verbindungsüberprüfung erfolgt auf physischer Ebene. Die Details dieser Stufe werden nicht spezifiziert; das Ziel ist jedoch, die Sinus- und Kosinuskurven der Datenübertragung mithilfe von Oszilloskop-Installationen zu überprüfen. Das bedeutet, dass wir anhand der Struktur der Anfrage auf physikalischer Ebene das Ziel der Verbindung bestimmen.
Durch die Funktionsweise des Systems können wir Daten aus verschlüsseltem Datenverkehr extrahieren. Durch die Analyse von Paketen sind wir in der Lage, die maximale Menge an Informationen aus den unverschlüsselten Feldern innerhalb des Pakets zu lesen. Durch die Paketinspektion auf physischer Ebene erfahren wir die Merkmale des Pakets (teilweise oder vollständig). Zudem sollte die Reputation der Webseiten nicht außer Acht gelassen werden. Wenn eine Anfrage von einer .onion-Quelle stammt, ist Vorsicht geboten. Um die Arbeit mit solchen Daten zu vereinfachen, wurde eine Risikokarte erstellt.
Ergebnis der ETA-Arbeit
Und alles scheint in Ordnung zu sein, aber lass uns über die Bereitstellung des Netzwerks sprechen.
Physische Implementierung der ETA
Hier stellt sich eine Vielzahl von Nuancen und Feinheiten. Erstens, bei der Erstellung eines solchen
Netzwerks mit hochrangiger Software ist eine Datensammlung notwendig. Die Daten manuell zu sammeln wäre völlig
unpraktisch, während die Implementierung eines Reaktionssystems schon interessanter ist. Zweitens, es müssen viele Daten vorhanden sein, was bedeutet, dass die installierten Netzwerksensoren nicht nur autonom arbeiten, sondern auch im fein eingestellten Modus funktionieren müssen, was eine Reihe von Herausforderungen mit sich bringt.
Es sollte viel zu tun sein, was bedeutet, dass die installierten Netzsensoren weder nur autark noch im feinjustierten Modus arbeiten müssen, was eine Reihe von Herausforderungen mit sich bringt.
Diese Anforderungen bringen eine Reihe von Komplexitäten mit sich.
Sensoren und das Stealthwatch-System
Einen Sensor zu installieren ist das eine, ihn jedoch richtig zu konfigurieren, stellt eine ganz andere Herausforderung dar. Für die Konfiguration von Sensoren gibt es ein System, das auf folgender Topologie basiert: ISR = Cisco Integrated Services Router; ASR = Cisco Aggregation Services Router; CSR = Cisco Cloud Services Router; WLC = Cisco Wireless LAN Controller; IE = Cisco Industrial Ethernet; ASA = Cisco Adaptive Security Appliance; FTD = Cisco Firepower Threat Defense; WSA = Web Security Appliance; ISE = Identity Services Engine.
Umfassendes Monitoring unter Berücksichtigung aller Telemetriedaten.
Netzwerkadministratoren bekommen beim Auftreten zahlreicher Begriffe wie „Cisco“ in dem vorherigen Absatz beinahe Herzrhythmusstörungen. Der Preis für dieses Wunderwerk der Technik ist nicht ohne, aber darum geht es heute nicht...
Das Verhalten von HACKERN wird folgendermaßen modelliert: Stealthwatch überwacht die Aktivitäten jedes Geräts im Netzwerk genau und kann ein Muster für normales Verhalten erstellen. Darüber hinaus bietet diese Lösung ein tiefes Verständnis für bekanntes unangemessenes Verhalten. Im Rahmen dieser Lösung werden etwa 100 verschiedene Analysemethoden oder Heuristiken verwendet, die verschiedene Arten von Verkehrsverhalten abdecken, wie z. B. Scannen, Übertragung von Alarmmeldungen von Knoten, das Eindringen durch Passwort-Gewinnspiel, vermuteter Datendiebstahl, vermuteter Datenleck usw. Die aufgeführten Sicherheitsereignisse fallen unter die Kategorie einer hochgradigen logischen Alarmierung. Einige Sicherheitsereignisse können auch alleine Alarm auslösen. So ist das System in der Lage, zahlreiche isolierte anomale Vorfälle zu korrelieren und zusammenzufassen, um den möglichen Angriffstyp zu bestimmen und ihn einem bestimmten Gerät und Benutzer zuzuordnen (siehe Abbildung 2). Der Vorfall kann anschließend in der Dynamik und im Zusammenhang mit den zugehörigen Telemetriedaten untersucht werden. Dies stellt kontextuelle Informationen in ihrer besten Form dar. Ärzte, die einen Patienten untersuchen, um zu verstehen, was passiert ist, betrachten die Symptome nicht isoliert. Sie untersuchen das Gesamtbild, um eine Diagnose zu stellen. Ähnlich hält Stealthwatch jede anomale Aktivität im Netzwerk fest und analysiert sie im Kontext, um kontextbezogene Alarme auszusenden und Sicherheitsexperten bei der Priorisierung von Risiken zu unterstützen.
Anomalieerkennung durch Verhaltensmodelling
So sieht die physische Netzwerkbereitstellung aus:
Vereinfachte Lösung für das Filialnetzwerk
Lösung für das Filialnetzwerk
Das Netzwerk ist eingerichtet, aber es gibt noch offene Fragen zur neuronalen Netztechnologie. Wir haben ein Datentransfernetzwerk organisiert, Sensoren an den Zugangsstellen installiert und ein Informationssammlungssystem gestartet, jedoch war die neuronale Technologie bislang nicht aktiv beteiligt.
Mehrschichtige neuronale Netzwerkarchitektur
Das System analysiert das Verhalten von Benutzern und Geräten, um bösartige Infektionen, Kommunikation mit Kommando-Servern, Datenlecks sowie potenziell unerwünschte Anwendungen, die in der Infrastruktur des Unternehmens aktiv sind, zu identifizieren. Es gibt mehrere Datenverarbeitungsebenen, auf denen eine Kombination aus künstlicher Intelligenz, maschinellem Lernen und mathematischer Statistik der Netzwerkarchitektur hilft, sich selbst an die normale Aktivität zu gewöhnen, um bösartige Aktivitäten zu erkennen.
Der Sicherheitsanalyse-Workflow von Stealthwatch, der Telemetriedaten aus allen Bereichen des erweiterten Netzwerks, einschließlich verschlüsseltem Datenverkehr, sammelt, ist eine einzigartigen Funktion. Er entwickelt schrittweise das Verständnis dafür, was als 'anomales' Verhalten gilt, klassifiziert dann die spezifischen Elemente der 'bedrohlichen Aktivität' und trifft schließlich eine endgültige Entscheidung darüber, ob das Gerät oder der Benutzer tatsächlich kompromittiert wurde. Die Fähigkeit, kleine Teile zusammenzuführen, die gemeinsam als Beweis für die endgültige Entscheidung über die Kompromittierung eines Objekts dienen, wird durch eine äußerst sorgfältige Analyse und Korrelation ermöglicht.
Diese Fähigkeit ist von großer Bedeutung, da ein standardmäßiges Unternehmen täglich eine enorme Anzahl von Alarmsignalen erhalten kann, sodass es unmöglich ist, jede davon zu untersuchen – die Ressourcen für Sicherheitsexperten sind begrenzt. Das Modul des maschinellen Lernens verarbeitet eine riesige Menge an Informationen nahezu in Echtzeit, um kritische Vorfälle mit hoher Zuversicht zu identifizieren und kann auch klare Handlungsempfehlungen zur schnellen Behebung geben.
Lassen Sie uns die zahlreichen Methoden des maschinellen Lernens, die in Stealthwatch verwendet werden, im Detail betrachten. Wenn ein Vorfall an das Modul für maschinelles Lernen von Stealthwatch übermittelt wird, durchläuft er einen Sicherheitsanalyse-Trichter, in dem eine Kombination von überwachten und unüberwachten Lernmethoden verwendet wird.
Fähigkeiten des mehrschichtigen maschinellen Lernens
1. Ebene. Anomalieerkennung und Vertrauensmodellierung
Auf dieser Stufe werden 99 % des Traffics durch statistische Anomaliedetektoren herausgefiltert. Die genannten Sensoren bilden komplexe Modelle dafür, was als normal und was als anormal gilt. Dabei ist nicht alles Anormale auch schädlich. Vieles, was in Ihrem Netzwerk passiert, ist nicht unbedingt eine Bedrohung – es ist einfach nur seltsam. Es ist wichtig, solche Prozesse unabhängig vom bedrohlichen Verhalten zu klassifizieren. Aus diesem Grund werden die Ergebnisse derer Detektoren weiter analysiert, um seltsames Verhalten zu identifizieren, das erklärt werden kann und dem vertraut werden kann. Letztendlich gelangt nur ein kleiner Teil der wichtigsten Datenströme und Anfragen auf die Stufen 2 und 3. Ohne den Einsatz solcher Methoden des maschinellen Lernens wären die Betriebskosten zur Trennung von Signal und Rauschen zu hoch.
Anomalieerkennung. In der ersten Phase der Anomalieerkennung kommen statistische Methoden des maschinellen Lernens zum Einsatz, um normalen statistischen Verkehr von anormalem zu trennen. Über 70 verschiedene Detektoren analysieren die Telemetriedaten, die Stealthwatch über den Datenverkehr an der Perimeter Ihrer Netzwerke sammelt, wobei interner Datenverkehr des Domain Name Systems (DNS) und Proxy-Daten, sofern vorhanden, getrennt werden. Jede Anfrage wird von mehr als 70 Detektoren verarbeitet, wobei jeder Detektor seinen eigenen statistischen Algorithmus verwendet, um eine Bewertung der identifizierten Anomalien zu erstellen. Diese Bewertungen werden zusammengeführt, und durch Anwendung mehrerer statistischer Methoden ergibt sich eine einheitliche Bewertung für jede einzelne Anfrage. Diese aggregierte Bewertung wird dann verwendet, um normalen von anormalem Datenverkehr zu unterscheiden.
Vertrauensmodellierung. Ähnliche Anfragen werden gruppiert, und die kumulierte Bewertung von Anomalien für diese Gruppen wird als langfristiger Durchschnittswert bestimmt. Im Laufe der Zeit werden mehr Anfragen analysiert, um den langfristigen Durchschnitt zu ermitteln, was dazu beiträgt, falsch-positive und falsch-negative Auslösungen zu reduzieren. Die Ergebnisse der Vertrauensmodellierung werden verwendet, um eine Teilmenge des Verkehrs auszuwählen, deren Anomaliebewertung einen dynamisch festgelegten Schwellenwert übersteigt, um sie in die nächste Verarbeitungsstufe zu verschieben.
Stufe 2. Ereignisklassifikation und Objektmodellierung
Auf dieser Ebene erfolgt die Klassifikation der Ergebnisse aus den vorherigen Schritten, die spezifischen bösartigen Ereignissen zugeordnet werden. Die Klassifikation der Ereignisse wird anhand der von den Machine Learning-Klassifikatoren zugewiesenen Werte durchgeführt, um eine konstante Genauigkeit von über 90 % zu gewährleisten. Dazu gehören:
- lineare Modelle basierend auf dem Lemma von Neyman-Pearson (Gesetz der Normalverteilung aus dem Diagramm zu Beginn des Artikels)
- Support Vector Machines, die mehrschichtiges Lernen verwenden
- Neuronale Netze und der Algorithmus „Random Forest“.
Anschließend werden solche isolierten Sicherheitsereignisse im Laufe der Zeit mit einem Endgerät verknüpft. An diesem Punkt wird die Bedrohungsbeschreibung erstellt, die ein vollständiges Bild davon liefert, wie es dem entsprechenden Angreifer gelungen ist, bestimmte Ergebnisse zu erzielen.
Ereignisklassifizierung. Ein statistisch anomales Teilset wird auf der vorherigen Ebene anhand von mehr als 100 Kategorien mit Hilfe von Klassifikatoren verteilt. Die meisten Klassifikatoren basieren auf individuellem Verhalten, Gruppendynamiken oder Verhalten im globalen oder lokalen Maßstab, während andere sehr spezifisch sein können. Zum Beispiel kann ein Klassifikator auf den Datenverkehr von Command-Servern, verdächtigen Erweiterungen oder nicht autorisierten Software-Updates hinweisen. In diesem Schritt wird eine Menge anomaler Sicherheitsereignisse erstellt, die bestimmten Kategorien zugeordnet werden.
Objektmodellierung. Wenn die Menge der Beweise zur Unterstützung der Hypothese über die Schädlichkeit eines bestimmten Objekts den signifikanten Schwellenwert übersteigt, wird eine Bedrohung definiert. Die relevanten Ereignisse, die die Bedrohungserkennung beeinflusst haben, werden mit dieser Bedrohung verknüpft und werden Teil des diskreten langfristigen Modells des Objekts. Mit der zeitlichen Ansammlung von Beweisen identifiziert das System neue Bedrohungen, sobald der signifikante Schwellenwert erreicht ist. Dieser Schwellenwert ist dynamisch und wird intelligent angepasst, basierend auf dem Risikoniveau der Bedrohung und anderen Faktoren. Danach erscheint die Bedrohung im Dashboard der Web-Oberfläche und wird auf die nächste Ebene übertragen.
Stufe 3. Modellierung von Beziehungen
Ziel der Beziehungsmodellierung ist es, die auf vorherigen Ebenen gewonnenen Ergebnisse aus einer globalen Perspektive zu synthetisieren, wobei sowohl der lokale als auch der globale Kontext des betreffenden Vorfalls berücksichtigt wird. An diesem Punkt können Sie feststellen, wie viele Organisationen mit einem solchen Angriff konfrontiert waren, um zu verstehen, ob er speziell gegen Sie gerichtet war oder Teil einer globalen Kampagne ist, und ob Sie einfach "collateral damage" waren.
Vorfälle werden entweder bestätigt oder entdeckt. Ein bestätigter Vorfall impliziert eine Zuversicht von 99 bis 100 %, da die entsprechenden Methoden und Werkzeuge zuvor in größerem (globalen) Maßstab beobachtet wurden. Entdeckte Vorfälle sind einzigartig für Sie und Teil einer gezielten Kampagne. Frühere Ergebnisse werden zusammen mit bekannten Handlungsanweisungen übermittelt, was Ihnen Zeit und Ressourcen bei der Reaktion spart. Diese werden mit den erforderlichen Ermittlungstools bereitgestellt, die Ihnen helfen, zu verstehen, wer Sie angegriffen hat und wie stark die Kampagne auf Ihr digitales Geschäft ausgerichtet ist. Wie Sie sich vorstellen können, übersteigt die Anzahl der bestätigten Vorfälle bei weitem die Anzahl der entdeckten, da bestätigte Vorfälle für die Angreifer mit geringeren Kosten verbunden sind, während entdeckte Vorfälle aufwändiger sind.
teuer, da sie neu und individuell sein müssen. Durch die Möglichkeit, bestätigte Vorfälle zu identifizieren, hat sich die Spielökonomie endlich zugunsten der Verteidiger verschoben und ihnen einen klaren Vorteil verschafft.
Mehrschichtiges Lernen des neuronalen Netzwerks auf Basis von ETA
Globale Risikokarte
Die globale Risikokarte wird durch die Analyse eines der größten Datensätze der Branche erstellt, die von Maschinenlernalgorithmen verarbeitet wird. Sie bietet umfassende statistische Daten über das Serververhalten im Internet, auch wenn diese unbekannt sind. Diese Server sind möglicherweise mit Angriffen verbunden und könnten in der Zukunft in einen Angriff verwickelt werden. Es handelt sich nicht um eine „schwarze Liste“, sondern um eine umfassende Übersicht des betreffenden Servers aus sicherheitstechnischer Sicht. Die Informationen über die Aktivität dieser Server, die im Kontext aufbereitet sind, ermöglichen es den Detektoren und Klassifikatoren von Stealthwatch, das Risiko im Zusammenhang mit der Kommunikation mit diesen Servern genau vorherzusagen.
Verfügbare Karten ansehen .
Weltkarte mit 460 Millionen IP-Adressen
Jetzt lernt das Netzwerk und schützt Ihr Netzwerk.
Ist endlich das Allheilmittel gefunden?
Leider, nein. Aus meiner Erfahrung mit dem System kann ich sagen, dass es zwei globale Probleme gibt.
Problem 1. Preis. Das gesamte Netzwerk basiert auf Cisco-Systemen. Das hat seine Vor- und Nachteile. Der Vorteil ist, dass Sie sich keine Gedanken machen müssen und keine zahlreichen Geräte wie D-Link oder MikroTik installieren müssen. Der Nachteil ist die enorme Kosten des Systems. Angesichts des wirtschaftlichen Zustands von Unternehmen in Russland kann es sich im Moment nur ein vermögender Eigentümer einer großen Firma oder einer Bank leisten, dieses Wunder zu kaufen.
Problem 2. Ausbildung. Ich habe in dem Artikel nicht über die Lernzeit des neuronalen Netzwerks geschrieben, aber nicht, weil es keine gibt, sondern weil es ständig lernt und wir nicht vorhersagen können, wann es tatsächlich lernen wird. Natürlich gibt es Werkzeuge der mathematischen Statistik (wie zum Beispiel die Formulierung des Konvergenzkriteriums von Pearson), aber das sind nur halbherzige Lösungen. Wir erhalten die Wahrscheinlichkeit der Verkehrsfilterung, und das auch nur, wenn der Angriff bereits bekannt und erlernt ist.
Trotz dieser zwei Herausforderungen haben wir bedeutende Fortschritte in der Informationssicherheit im Allgemeinen und beim Netzwerkschutz im Besonderen erzielt. Diese Tatsache könnte inspirierend sein, um sich mit Netzwerktechnologien und neuronalen Netzen auseinanderzusetzen, die derzeit ein vielversprechendes Feld darstellen.
Quelle: habr.com
