StealthWatch: Analyse und Untersuchung von Vorfällen. Teil 3

Cisco StealthWatch ist eine analytische Lösung im Bereich der IT-Sicherheit, die umfassende Bedrohungsüberwachung in einem verteilten Netzwerk ermöglicht. Die Funktionsweise von StealthWatch basiert auf der Sammlung von NetFlow und IPFIX von Routern, Switches und anderen Netzwerkgeräten. Dadurch wird das Netzwerk zu einem empfindlichen Sensor und erlaubt dem Administrator, Bereiche zu überwachen, die traditionelle Netzwerkschutzmethoden wie Next Generation Firewalls nicht erreichen können.

In früheren Artikeln habe ich bereits über StealthWatch geschrieben: erste Einführung und Möglichkeiten, sowie Bereitstellung und Konfiguration. Jetzt schlage ich vor, weiterzumachen und zu besprechen, wie mit Alarmen umzugehen ist und wie man Sicherheitsvorfälle untersuchen kann, die von der Lösung generiert werden. Es werden 6 Beispiele vorgestellt, die hoffentlich einen guten Einblick in die Nützlichkeit des Produkts geben.

Zunächst sollte erwähnt werden, dass StealthWatch eine gewisse Verteilung von Auslösungen durch Algorithmen und Feeds aufweist. Die ersten sind verschiedene Arten von Alarmen (Benachrichtigungen), bei deren Auslösung verdächtige Aktivitäten im Netzwerk erkannt werden können. Die zweiten sind Sicherheitsvorfälle. In diesem Artikel werden 4 Beispiele für algorithmische Auslösungen und 2 Beispiele für Feeds behandelt.

1. Analyse der umfangreichsten Interaktionen im Netzwerk

Der erste Schritt zur Konfiguration von StealthWatch besteht darin, Hosts und Netzwerke in Gruppen zu definieren. Im Web-Interface finden Sie den Tab Configure > Host Group Management , um Netzwerke, Hosts und Server in die entsprechenden Gruppen zuzuordnen. Es können auch eigene Gruppen erstellt werden. Übrigens ist die Analyse der Interaktionen zwischen Hosts in Cisco StealthWatch recht benutzerfreundlich, da Sie nicht nur Suchfilter für die Ströme speichern, sondern auch die Ergebnisse selbst.

Zunächst sollten Sie im Web-Interface den Tab Analyze > Flow Searchaufrufen. Dann müssen die folgenden Parameter eingestellt werden:

• Search Type — Top Conversations (die häufigsten Interaktionen)
• Time Range — 24 hours (Zeitspanne, andere kann verwendet werden)
• Search Name — Top Conversations Inside-Inside (irgendein verständlicher Name)
• Betreff — Hostgruppen → Interne Hosts (Quelle — Gruppe interner Knoten)
• Verbindung (Ports und Anwendungen können angegeben werden)
• Peer — Hostgruppen → Interne Hosts (Ziel — Gruppe interner Knoten)
• In den erweiterten Optionen können zusätzlich der Sammler angegeben werden, von dem die Daten abgerufen werden, sowie die Sortierung der Ausgabe (nach Bytes, Streams usw.). Ich lasse es standardmäßig.

Nach dem Klicken auf die Schaltfläche Suche wird eine Liste der Interaktionen angezeigt, die bereits nach dem Volumen der übertragenen Daten sortiert sind.

In meinem Beispiel hat der Host 10.150.1.201 (Server) im Rahmen eines einzigen Streams 1,5 GB Datenverkehr an den Host 10.150.1.200 (Client) über das Protokoll mysql. Die Schaltfläche Spalten verwalten erlaubt es, weitere Spalten in den angezeigten Daten hinzuzufügen.

Darüber hinaus kann der Administrator ein benutzerdefiniertes Regelwerk erstellen, das ständig für solche Interaktionen ausgelöst wird und per SNMP, E-Mail oder Syslog benachrichtigt.

2. Analyse der langsamsten Client-Server-Interaktionen innerhalb des Netzwerks auf Verzögerungen

Kennzeichnungen SRT (Serverantwortzeit), RTT (Round-Trip-Zeit) ermöglichen es, die Verzögerungen der Server und die allgemeinen Verzögerungen im Netzwerk zu ermitteln. Dieses Tool ist besonders nützlich, wenn es darum geht, schnell den Grund für Beschwerden der Benutzer über eine langsam arbeitende Anwendung zu finden.

Hinweis: praktisch alle Netflow-Exporter sind nicht in der Lage SRT, RTT-Tags zu senden, weshalb man oft eine Kopie des Traffics von Netzwerkgeräten zur FlowSensor-Überwachung konfigurieren muss. FlowSensor wiederum gibt erweitertes IPFIX an den FlowCollector weiter.

Diese Analysen lassen sich besser in der Java-Anwendung StealthWatch durchführen, die auf dem Computer des Administrators installiert wird.

Rechtsklick auf Inside Hosts und gehe zum Tab Flow Table.

Klicke auf Filter und stelle die benötigten Parameter ein. Zum Beispiel:

• Datum/Uhrzeit — Für die letzten 3 Tage
• Leistung — Durchschnittliche Round Trip Time >=50ms

Nachdem die Daten angezeigt wurden, sollten die interessierenden RTT- und SRT-Felder hinzugefügt werden. Dafür die Spalte im Screenshot anklicken und mit der rechten Maustaste auswählen Spalten verwalten. Dann die RTT- und SRT-Parameter durchklicken.

Nach der Bearbeitung der Anfrage habe ich nach RTT-Durchschnitt sortiert und die langsamsten Interaktionen gesehen.

Um in die Detailinformationen einzutauchen, mit der rechten Maustaste auf den Stream klicken und auswählen Schnellansicht für Flow.

Diese Informationen zeigen, dass der Host 10.201.3.59 aus der Gruppe Vertrieb und Marketing über das Protokoll NFS auf den DNS-Server über einen Zeitraum von einer Minute und 23 Sekunden zugreift und eine katastrophale Latenz aufweist. Im Tab Schnittstellen kann man herausfinden, von welchem NetFlow-Exporter die Informationen stammen. Im Tab Tabelle sind detailliertere Informationen zur Interaktion dargestellt.

Des Weiteren sollten wir klären, welche Geräte den Datenverkehr an den FlowSensor senden, da das Problem wahrscheinlich dort liegt.

Zudem ist StealthWatch besonders, weil es Deduplikation von Daten durchführt (d.h. identische Ströme zusammenführt). Somit können beinahe alle NetFlow-Geräte verwendet werden, ohne man sich Sorgen machen muss, dass es viele sich wiederholende Daten gibt. Im Gegenteil, in diesem Zusammenhang hilft es zu verstehen, an welchem Hops die größten Verzögerungen auftreten.

3. Audit von HTTPS-Kryptographischen Protokollen

ETA (Encrypted Traffic Analytics) ist eine von Cisco entwickelte Technologie, die es ermöglicht, bösartige Verbindungen im verschlüsselten Datenverkehr zu erkennen, ohne diesen zu entschlüsseln. Darüber hinaus erlaubt diese Technologie, HTTPS auf TLS-Versionen und die verwendeten kryptographischen Protokolle zu zerlegen. Diese Funktion ist besonders nützlich, wenn es darum geht, Netzwerk-Knoten zu identifizieren, die schwache Kryptostandards verwenden.

Hinweis: Zunächst sollte die Network-App auf StealthWatch installiert werden — ETA-Kryptographisches Audit.

Wechseln Sie zur Registerkarte Dashboards → ETA-Kryptografisches Audit und wählen Sie die Host-Gruppe aus, die analysiert werden soll. Für einen Überblick wählen wir Inside Hosts.

Es ist zu beobachten, dass die TLS-Version und der entsprechende Kryptostandard angezeigt werden. Nach dem gewohnten Muster in der Spalte Aktionen gehen wir zu Flüsse anzeigen und die Suche wird in einem neuen Tab gestartet.

Aus der Ausgabe ist zu erkennen, dass der Host 198.19.20.136 über einen Zeitraum von 12 Stunden HTTPS mit TLS 1.2 verwendet hat, wobei der Verschlüsselungsalgorithmus AES-256 und die Hash-Funktion SHA-384. Damit ermöglicht es ETA, schwache Algorithmen im Netzwerk zu identifizieren.

4. Analyse von Anomalien im Netzwerk

Cisco StealthWatch kann Datenverkehrsanomalien im Netzwerk mit drei Tools erkennen: Kernereignisse (Sicherheitsereignisse), Beziehungsereignisse (Ereignisse der Interaktion zwischen Segmenten und Knoten des Netzwerks) und Verhaltensanalyse.

Die Verhaltensanalyse ermöglicht es, im Laufe der Zeit ein Verhaltensmodell für einen bestimmten Host oder eine Gruppe von Hosts zu erstellen. Je mehr Datenverkehr durch StealthWatch fließt, desto präziser werden die Alarmierungen durch diese Analyse. Zu Beginn löst das System oft falsche Alarmierungen aus, weshalb die Regeln manuell angepasst werden sollten. Ich empfehle, in den ersten Wochen solche Ereignisse zu ignorieren, da sich das System selbst anpassen wird, oder die Ereignisse in Ausnahmen aufzunehmen.

Im Folgenden ein Beispiel für eine vordefinierte Regel Anomalie, die besagt, dass ein Ereignis ohne Alarm ausgelöst wird, wenn ein Host in der Gruppe 'Inside Hosts' mit einer Gruppe 'Inside Hosts' interagiert und der Datenverkehr innerhalb von 24 Stunden 10 Megabyte übersteigt..

Nehmen wir als Beispiel den Alarm Datenanhäufung, der bedeutet, dass ein Quell-/Ziel-Host eine anormal große Menge an Daten von einer Gruppe von Hosts oder einem Host heruntergeladen hat. Klicken Sie auf das Ereignis und tauchen Sie in die Tabelle ein, wo die auslösenden Hosts angegeben sind. Wählen Sie dann den interessierenden Host in der Spalte aus. Datenanhäufung.

Es wird ein Ereignis angezeigt, das besagt, dass 162k „Punkte“ entdeckt wurden, während gemäß der Richtlinie nur 100k „Punkte“ erlaubt sind — dies sind interne Metriken von StealthWatch. In der Spalte Aktionen klicken wir Flüsse anzeigen.

Wir können beobachten, dass der betreffende Host in der Nacht mit dem Host 10.201.3.47 aus der Abteilung Vertrieb & Marketing über das Protokoll HTTPS und hat 1,4 GB. Dieses Beispiel mag nicht ganz ideal sein, aber die Erkennung von Interaktionen bis zu mehreren Hundert Gigabyte erfolgt auf die gleiche Weise. Daher kann eine weitere Untersuchung von Anomalien zu interessanten Ergebnissen führen.

Hinweis: In der SMC-Weboberfläche werden die Daten in den Tabs Dashboards nur für die letzte Woche angezeigt, und im Tab Monitor für die letzten 2 Wochen. Um Ereignisse aus älterer Zeit zu analysieren und Berichte zu erstellen, muss die Java-Konsole auf dem Administrationscomputer verwendet werden.

5. Identifizierung interner Netzwerkscans

Betrachten wir nun einige Beispiele für Feeds — Vorfälle der Informationssicherheit. Diese Funktionalität interessiert vor allem die Sicherheitsverantwortlichen.

In StealthWatch gibt es mehrere voreingestellte Ereignistypen für Scans:

• Port-Scan — die Quelle scannt mehrere Ports des Zielknotens.
• Addr tcp scan — die Quelle scannt ein ganzes Netzwerk über denselben TCP-Port, während sie die Ziel-IP-Adresse ändert. Dabei erhält die Quelle TCP Reset-Pakete oder erhält gar keine Antworten.
• Addr udp scan — die Quelle scannt ein ganzes Netzwerk über denselben UDP-Port, während sie die Ziel-IP-Adresse ändert. Dabei erhält die Quelle ICMP Port Unreachable-Pakete oder erhält gar keine Antworten.
• Ping Scan — die Quelle sendet ICMP-Anfragen an ein ganzes Netzwerk, um Antworten zu finden.
• Stealth Scan tcp/udp — die Quelle hat denselben Port verwendet, um gleichzeitig mehrere Ports am Zielhost zu erreichen.

Um alle internen Scanner bequem zu finden, gibt es eine Netzwerk-App für StealthWatch — Sichtbarkeitsbewertung. Gehen Sie zum Tab Dashboards → Sichtbarkeitsbewertung → Interne Netzwerkscanner , und Sie sehen Sicherheitsvorfälle im Zusammenhang mit Scans der letzten 2 Wochen.

Durch Klicken auf die Schaltfläche Details, sehen Sie den Beginn des Scans für jedes Netzwerk, den Trend des Datenverkehrs und die entsprechenden Alarme.

Anschließend können Sie aus dem Tab im vorherigen Screenshot in den Host „hineinzoomen“ und Sicherheitsereignisse sowie die Aktivität der letzten Woche für diesen Host sehen.

Lassen Sie uns als Beispiel ein Ereignis analysieren Port-Scan von einem Host 10.201.3.149 findet man 10.201.0.72, indem Sie auf Aktionen > Zugeordnete Flüsseklicken. Es wird eine Suche nach Flüssen gestartet, und relevante Informationen werden angezeigt.

Wie wir sehen, hat dieser Host von einem seiner Ports 51508/TCP vor 3 Stunden den Zielhost an den Ports 22, 28, 42, 41, 36, 40 (TCP)gescannt. Einige Felder zeigen keine Informationen an, entweder weil nicht alle Netflow-Felder vom Netflow-Exporter unterstützt werden.

6. Analyse heruntergeladener Malware mit CTA

CTA (Cognitive Threat Analytics) ist eine cloudbasierte Analyse von Cisco, die sich hervorragend in Cisco StealthWatch integrieren lässt und den signatureslosen Analyseprozess um signaturbasierte Analysen ergänzt. Dadurch wird die Erkennung von Trojanern, Netzwerkwürmern, Zero-Day-Malware und anderen Bedrohungen sowie deren Verbreitung innerhalb des Netzwerks möglich. Die bereits erwähnte ETA-Technologie ermöglicht auch die Analyse solcher bösartigen Kommunikationen im verschlüsselten Verkehr.

Bereits im ersten Tab der Web-Oberfläche gibt es ein spezielles Widget Cognitive Threat Analytics. Die Übersicht informiert über die entdeckten Bedrohungen auf den Benutzer-Hosts: Trojaner, schadhafte Software, lästige Werbung. Das Wort „Encrypted“ zeigt genau die Aktivität des E.T.A. an. Durch einen Klick auf den Host erhalten Sie alle Informationen, einschließlich der Sicherheitsereignisse und der Protokolle der C.T.A.

Wenn Sie über jeden Schritt der C.T.A. fahren, wird detaillierte Information über die Interaktion angezeigt. Für eine vollständige Analyse sollten Sie klicken auf Ereignisdetails anzeigen, und Sie gelangen in eine separate Konsole Cognitive Threat Analytics.

In der oberen rechten Ecke ermöglicht ein Filter die Anzeige von Ereignissen nach Dringlichkeit. Wenn Sie mit der Maus über eine bestimmte Anomalie fahren, erscheinen in der unteren Bildschirmhälfte die Protokolle mit dem entsprechenden Zeitverlauf rechts. Dadurch erhält der Spezialist für Informationssicherheit eine klare Vorstellung davon, welcher befallene Host nach welchen Aktionen bestimmte Handlungen durchführte.

Unten ist ein weiteres Beispiel zu sehen — ein Banktrojaner, der den Host befallen hat 198.19.30.36. Dieser Host begann, mit bösartigen Domains zu interagieren, und in den Protokollen sind Informationen zu den Strömen dieser Interaktionen dargestellt.

Als Nächstes ist eine der besten Lösungen, die möglich sein könnte — den Host dank der nativen Integration in Quarantäne zu setzen. mit Cisco ISE für weitere Behandlung und Analyse.

Fazit

Die Lösung Cisco StealthWatch gehört zu den führenden Produkten zur Netzwerküberwachung, sowohl hinsichtlich der Netzwerk- als auch der Informationssicherheit. Damit können illegitime Interaktionen innerhalb des Netzwerks, Anwendungsverschleppungen, die aktivsten Benutzer, Anomalien, Malware und APT erkannt werden. Darüber hinaus können Scans, Pentester entdeckt sowie eine Krypto-Audit von HTTPS-Traffic durchgeführt werden. Noch mehr Anwendungsfälle finden Sie unter über diesen Link verfügbar.

Wenn Sie überprüfen möchten, ob in Ihrem Netzwerk alles reibungslos und effizient läuft, senden Sie Antrag.
In naher Zukunft planen wir weitere technische Veröffentlichungen zu verschiedenen Produkten der Informationssicherheit. Wenn Sie an diesem Thema interessiert sind, folgen Sie unseren Updates in unseren Kanälen (Telegram, Facebook, VK, TS Solution Blog)!

Quelle: habr.com