System zur Analyse von Verkehr ohne dessen Entschlüsselung. Diese Methode wird einfach als „maschinelles Lernen“ bezeichnet. Es stellte sich heraus, dass, wenn man einem speziellen Klassifikator eine sehr große Menge unterschiedlichen Verkehrs zuführt, das System mit sehr hoher Wahrscheinlichkeit die Aktionen von Schadsoftware innerhalb des verschlüsselten Verkehrs erkennen kann.
Netzwerktechniken haben sich verändert und sind „intelligent“ geworden. In letzter Zeit hat sich das Konzept von Angriff und Verteidigung verändert. Die Anzahl der Ereignisse im Netzwerk ist drastisch gestiegen. Angriffe sind raffinierter geworden, und Hacker haben einen größeren Angriffsbereich.
Laut Cisco haben Kriminelle im vergangenen Jahr die Anzahl der Schadprogramme, die sie für ihre Aktivitäten nutzen, verdreifacht, genauer gesagt zur Verschleierung ihrer Aktivitäten – Verschlüsselung. Aus der Theorie ist bekannt, dass ein „richtiger“ Verschlüsselungsalgorithmus nicht gehackt werden kann. Um zu verstehen, was sich im Inneren des verschlüsselten Verkehrs verbirgt, muss man ihn entweder mit dem Schlüssel entschlüsseln, versuchen, ihn mit verschiedenen Tricks oder durch rohe Gewalt zu entschlüsseln, oder Schwachstellen in kryptographischen Protokollen auszunutzen.
Das Bild der Netzwerktechniken unserer Zeit
Maschinelles Lernen
Kenne die Technologie beim Namen! Bevor wir darüber sprechen, wie die Entschlüsselungstechnologie auf Basis von maschinellem Lernen funktioniert, müssen wir klären, wie die Technologie der neuronalen Netze funktioniert.
Maschinelles Lernen (Machine Learning) ist ein umfangreicher Teilbereich der künstlichen Intelligenz, der Methoden zur Erstellung von Algorithmen untersucht, die lernen können. Diese Wissenschaft zielt darauf ab, mathematische Modelle des „Lernens“ von Computern zu schaffen. Ziel des Lernens ist die Vorhersage von irgendetwas. Im menschlichen Verständnis nennen wir diesen Prozess „Weisheit“ „Weisheit“. Weisheit zeigt sich bei Menschen, die genug Jahre gelebt haben (ein 2-jähriges Kind kann nicht weise sein). Wenn wir ältere Kollegen um Rat fragen, geben wir ihnen Informationen über ein Ereignis (Eingabedaten) und bitten um Hilfe. Sie erinnern sich wiederum an alle Situationen aus ihrem Leben, die irgendwie mit Ihrem Problem verbunden sind (Wissensdatenbank), und auf der Grundlage dieses Wissens (Daten) geben sie uns gewissermaßen eine Vorhersage (Rat). Diese Art von Rat wird als Vorhersage bezeichnet, weil die Person, die den Rat gibt, nicht genau weiß, was passieren wird, sondern nur Vermutungen anstellt. Die Lebenserfahrung zeigt, dass eine Person sowohl recht haben als auch sich irren kann.
Es ist nicht sinnvoll, neuronale Netzwerke mit dem Verzweigungsalgorithmus (if-else) zu vergleichen. Das sind verschiedene Dinge und es gibt wesentliche Unterschiede zwischen ihnen. Der Verzweigungsalgorithmus hat ein klares „Verständnis“, was zu tun ist. Ich werde das mit Beispielen demonstrieren.
Aufgabe. Bestimmen des Bremsweges eines Fahrzeugs nach Marke und Baujahr.
Beispiel für die Funktionsweise des Verzweigungsalgorithmus. Wenn das Fahrzeug die Marke 1 hat und im Jahr 2012 hergestellt wurde, beträgt der Bremsweg 10 Meter; andernfalls, wenn das Fahrzeug die Marke 2 hat und im Jahr 2011 hergestellt wurde, und so weiter.
Beispiel für die Funktionsweise eines neuronalen Netzwerks. Wir sammeln Daten über Bremswege von Fahrzeugen in den letzten 20 Jahren. Nach Marke und Jahr erstellen wir eine Tabelle der Art „Marke-Baujahr-Bremsweg“. Wir geben diese Tabelle an das neuronale Netzwerk und beginnen mit dem Lernen. Das Training erfolgt wie folgt: Wir geben dem neuronalen Netzwerk Daten, jedoch ohne Bremsweg. Das Netzwerk versucht vorherzusagen, wie der Bremsweg sein wird, basierend auf der in die Tabelle geladenen Informationen. Es sagt etwas voraus und stellt dem Benutzer die Frage: „Liege ich richtig?“ Bevor sie die Frage stellt, erstellt es eine vierte Spalte – die Spalte für die Vermutung. Wenn es richtig liegt, trägt es 1 in die vierte Spalte ein, bei einem Fehler 0. Das neuronale Netzwerk geht zum nächsten Ereignis (auch wenn es einen Fehler gemacht hat). So lernt das Netzwerk, und wenn das Training abgeschlossen ist (ein bestimmtes Konvergenzkriterium erreicht ist), geben wir die Daten zu dem Fahrzeug, das uns interessiert, und erhalten schließlich die Antwort.
Um die Frage nach dem Konvergenzkriterium zu klären, erkläre ich, dass es sich um eine mathematisch abgeleitete Formel für Statistik handelt. Ein anschauliches Beispiel für zwei unterschiedliche Konvergenzformeln. Rot – binäre Konvergenz, Blau – normale Konvergenz.
Binomial- und Normalverteilung der Wahrscheinlichkeit
Um es besser zu verstehen, stellen Sie die Frage: „Wie hoch ist die Wahrscheinlichkeit, einem Dinosaurier zu begegnen?“. Es gibt 2 Antwortmöglichkeiten. Möglichkeit 1 – sehr gering (blaue Grafik). Möglichkeit 2 – entweder man begegnet ihm oder nicht (rote Grafik).
Natürlich ist ein Computer nicht ein Mensch und lernt anders. Es werden 2 Arten des Lernens des „eisernen Pferdes“ unterschieden – präzedenzbasiertes Lernen und deduktives Lernen.
Präzedenzbasiertes Lernen ist eine Methode, die auf mathematischen Gesetzen basiert. Mathematiker sammeln Statistiken, ziehen Schlussfolgerungen und laden das Ergebnis in ein neuronales Netzwerk – eine Formel zur Berechnung – hoch.
Deduktives Lernen findet vollständig im neuronalen Netzwerk statt (von der Datensammlung bis zur Analyse). Hier wird eine Tabelle ohne Formel, aber mit Statistiken gebildet.
Ein umfassender Überblick über die Technologie würde noch einige Dutzend Artikel erfordern. Für unser allgemeines Verständnis reicht das vorerst aus.
Neuroplastizität
In der Biologie gibt es das Konzept der Neuroplastizität. Neuroplastizität ist die Fähigkeit von Neuronen (Hirnzellen), „situationsabhängig“ zu handeln. Zum Beispiel hört ein sehbehinderter Mensch besser Geräusche, riecht mehr und spürt Objekte. Das geschieht, weil ein Teil des Gehirns (ein Teil der Neuronen), der für das Sehen verantwortlich ist, seine Funktionalität umverteilt.
Ein anschauliches Beispiel für Neuroplastizität im Leben ist der BrainPort.
Im Jahr 2009 gab die Universität Wisconsin in Madison die Einführung eines neuen Geräts bekannt, das die Ideen eines „sprachlichen Displays“ entwickelt – es wurde BrainPort genannt. BrainPort funktioniert nach folgendem Algorithmus: Videosignale werden von einer Kamera an einen Prozessor übertragen, der den Zoom, die Helligkeit und andere Parameter des Bildes steuert. Er wandelt auch digitale Signale in elektrische Impulse um und übernimmt faktisch die Funktionen der Netzhaut.
BrainPort-Lutscher mit Brille und Kamera
BrainPort in Aktion
Das ist auch bei Computern der Fall. Wenn das neuronale Netzwerk eine Veränderung im Prozess spürt, passt es sich daran an. Das ist der wesentliche Vorteil neuronaler Netzwerke im Vergleich zu anderen Algorithmen – Autonomie. Eine Art Menschlichkeit.
Encrypted Traffic Analytics
Encrypted Traffic Analytics ist Teil des Stealthwatch-Systems. Stealthwatch ist eine Entwicklung von Cisco im Bereich Sicherheitsüberwachungs- und Analysetools, die Unternehmensdaten aus der bestehenden Netzwerk-Infrastruktur nutzen.
Die Stealthwatch Enterprise basiert auf den Tools Flow Rate License, Flow Collector, Management Console und Flow Sensor.
Cisco Stealthwatch Benutzeroberfläche
Das Problem mit der Verschlüsselung ist in den Vordergrund gerückt, da viel mehr Datenverkehr verschlüsselt wird. Früher wurde hauptsächlich der Code verschlüsselt, jetzt wird der gesamte Datenverkehr verschlüsselt, was es erheblich schwieriger macht, 'reine' Daten von Viren zu trennen. Ein markantes Beispiel ist WannaCry, der Tor nutzte, um seine Präsenz im Netzwerk zu verbergen.
Visualisierung des Anstiegs der verschlüsselten Datenverkehrs im Netzwerk
Verschlüsselung in der Makroökonomie
Das System Encrypted Traffic Analytics (ETA) ist genau dafür notwendig, um mit verschlüsseltem Datenverkehr zu arbeiten, ohne ihn zu entschlüsseln. Angreifer sind clever und nutzen kryptographisch sichere Verschlüsselungsalgorithmen, ihren Bruch herzustellen ist nicht nur ein Problem, sondern auch mit enormen Kosten für Organisationen verbunden.
Das System funktioniert wie folgt. Ein gewisser Datenverkehr kommt ins Unternehmen. Er gelangt in TLS (Transport Layer Security — Protokoll für den Schutz der Transportschicht). Angenommen, der Datenverkehr ist verschlüsselt. Wir versuchen, eine Reihe von Fragen zu beantworten, was für eine Verbindung hergestellt wurde.
Funktionsweise des Systems Encrypted Traffic Analytics (ETA)
Um diese Fragen zu beantworten, verwenden wir maschinelles Lernen in diesem System. Es werden Forschungen von Cisco herangezogen und auf Basis dieser Forschungen wird eine Tabelle aus zwei Ergebnissen erstellt – schädlicher und 'guter' Datenverkehr. Natürlich wissen wir nicht genau, was für ein Datenverkehr gerade ins System gelangt ist, aber wir können die Geschichte des Datenverkehrs sowohl im Unternehmen als auch außerhalb davon anhand von globalen Daten nachverfolgen. Am Ende dieses Schrittes erhalten wir eine riesige Tabelle mit Daten.
Die Forschungsergebnisse zeigen charakteristische Merkmale – bestimmte Regeln, die in mathematischer Form festgehalten werden können. Diese Regeln variieren stark je nach Kriterien – der Größe der übertragene Dateien, der Art der Verbindung, dem Land, aus dem der Datenverkehr stammt, usw. Infolge der Arbeit wurde eine riesige Tabelle in eine Sammlung zahlreicher Formeln umgewandelt. Es wurden weniger, aber nicht genug für eine komfortable Arbeit.
Anschließend wird die Technologie des maschinellen Lernens angewendet – die Konvergenz der Formel und aus dem Ergebnis der Konvergenz erhalten wir einen Trigger – einen Schalter, bei dem beim Datenausgang ein Schalter (Flag) in aufrechter oder abgesenkter Position aktiviert wird.
Der Ergebnisprozess – die Erfassung einer Reihe von Triggern, die 99 % des Verkehrs abdecken.
Überprüfungsphasen des Verkehrs in ETA
Ein weiteres Problem wird durch die Arbeit gelöst – der Angriff von innen. Es sind keine Menschen mehr erforderlich, die den Verkehr manuell filtern (in diesem Punkt mache ich mir selbst das Leben schwer). Erstens sind keine hohen Ausgaben mehr für einen qualifizierten Systemadministrator erforderlich (ich mache mir das Leben weiter schwer). Zweitens besteht keine Gefahr eines internen Hacks (zumindest teilweise).
Veraltetes Konzept des Man-in-the-Middle
Lassen Sie uns nun die Basis des Systems betrachten.
Das System funktioniert mit 4 Kommunikationsprotokollen: TCP/IP – Datenübertragungsprotokoll im Internet, DNS – Domainnamenserver, TLS – Protokoll für den Schutz der Transportschicht, SPLT (SpaceWire Physical Layer Tester) – Tester für die physische Kommunikationsschicht.
Protokolle, die mit ETA arbeiten
Die Analyse erfolgt durch den Vergleich von Daten. Die Reputation von Webseiten wird über die Protokolle TCP/IP überprüft (Besuchsverlauf, Zweck der Webseite usw.), und dank des DNS-Protokolls können wir 'schlechte' Webseitenadressen ausschließen. Das TLS-Protokoll arbeitet mit den 'Fingerabdrücken' von Webseiten und überprüft diese anhand einer Datenbank des Computer Emergency Response Teams (CERT). Der letzte Prüfungsprozess – die Überprüfung auf physischer Ebene. Die Details dieser Phase werden nicht spezifiziert, aber es geht darum, die Sinus- und Kosinuskurven der Datenübertragung auf oszillographischen Geräten zu überprüfen, d.h. durch die Struktur der Anfrage auf physischer Ebene bestimmen wir den Zweck der Verbindung.
Durch die Arbeit des Systems können wir Daten aus verschlüsseltem Traffic extrahieren. Durch das Studium der Pakete können wir maximale Informationen aus unverschlüsselten Feldern im Paket selbst lesen. Durch die Inspektion des Pakets auf physikalischer Ebene erfahren wir die Eigenschaften des Pakets (teilweise oder vollständig). Außerdem sollte man die Reputation der Seiten nicht vergessen. Wenn die Anfrage von einer .onion-Quelle stammt, ist Vorsicht geboten. Um die Arbeit mit solchen Daten zu vereinfachen, wurde eine Risikokarte erstellt.
Ergebnis der ETA-Arbeit
Und alles schien gut zu sein, aber lassen Sie uns über die Bereitstellung des Netzwerks sprechen.
Physikalische Umsetzung der ETA
Hier treten eine Reihe von Nuancen und Feinheiten auf. Erstens ist für die Erstellung eines solchen
Netzwerks mit hochrangiger Software die Datensammlung erforderlich. Die Daten manuell zu sammeln ist äußerst
aufwendig, während die Implementierung eines Reaktionssystems bereits interessanter ist. Zweitens müssen die
Daten umfangreich sein, was bedeutet, dass die installierten Sensoren im Netzwerk nicht nur autonom, sondern
auch in einem fein abgestimmten Modus arbeiten müssen, was eine Reihe von Schwierigkeiten mit sich bringt.
Sensoren und Stealthwatch-System
Einen Sensor zu installieren ist eine Sache, ihn einzustellen eine ganz andere Herausforderung. Für die Konfiguration der Sensoren gibt es ein System, das nach der folgenden Topologie funktioniert – ISR = Cisco Integrated Services Router; ASR = Cisco Aggregation Services Router; CSR = Cisco Cloud Services Router; WLC = Cisco Wireless LAN Controller; IE = Cisco Industrial Ethernet; ASA = Cisco Adaptive Security Appliance; FTD = Cisco Firepower Threat Defense; WSA = Web Security Appliance; ISE = Identity Services Engine
Integrierte Überwachung unter Berücksichtigung aller Telemetriedaten
Bei Netzwerkadministratoren beginnt das Herzrasen bei der Anzahl der Wörter "Cisco" im vorherigen Absatz. Der Preis für dieses Wunder ist nicht gering, aber darum geht es heute nicht...
Die Modellierung des Hackerverhaltens erfolgt wie folgt. Stealthwatch überwacht die Aktivität jedes Geräts im Netzwerk sorgfältig und ist in der Lage, ein Muster des normalen Verhaltens zu erstellen. Darüber hinaus bietet diese Lösung ein tiefes Verständnis für bekanntes unzulässiges Verhalten. Im Rahmen dieser Lösung werden etwa 100 verschiedene Analysealgorithmen oder heuristische Regeln verwendet, die sich auf verschiedene Arten von Verkehrsverhalten beziehen, wie z. B. Scannen, Übertragung von Notfallmeldungen von Knoten, Passwort-Cracking, vermuteter Datendiebstahl, vermuteter Datenverlust usw. Die genannten Sicherheitsereignisse fallen unter die Kategorie der logischen Hochalarme. Einige Sicherheitsereignisse können auch für sich genommen Alarme auslösen. Somit ist das System in der Lage, zahlreiche isolierte anomale Vorfälle zu korrelieren und sie zu bündeln, um den möglichen Angriffstyp zu bestimmen sowie diesen einem bestimmten Gerät und Benutzer zuzuordnen (Abbildung 2). Darüber hinaus kann der Vorfall dynamisch und unter Berücksichtigung verwandter Telemetriedaten untersucht werden. Dies stellt kontextuelle Informationen in ihrer besten Form dar. Ärzte, die einen Patienten untersuchen, um zu verstehen, was passiert ist, betrachten die Symptome nicht isoliert. Sie studieren das Gesamtbild für die Diagnose. Ähnlich erfasst Stealthwatch jede anomale Aktivität im Netzwerk und untersucht sie im Kontext, um Alarme unter Berücksichtigung des Kontextes zu senden, wodurch Sicherheitsexperten helfen, Risiken zu priorisieren.
Anomalieerkennung durch Verhaltensmodellierung
Die physische Bereitstellung des Netzwerks sieht folgendermaßen aus:
Variante der Bereitstellung eines Filialnetzes (vereinfacht)
Variante der Bereitstellung eines Filialnetzes
Das Netzwerk ist bereitgestellt, aber die Frage bezüglich des neuronalen Netzes bleibt offen. Ein Datennetzwerk wurde organisiert, Sensoren wurden an den Schwellen installiert und das Informationssammlungssystem wurde gestartet, aber das neuronale Netz war vorerst nicht beteiligt.
Mehrschichtiges neuronales Netz
Das System analysiert das Verhalten von Benutzern und Geräten, um bösartige Infektionen, Kommunikationen mit Command-Servern, Datenlecks sowie potenziell unerwünschte Anwendungen, die in der Infrastruktur der Organisation arbeiten, zu identifizieren. Es gibt mehrere Datenverarbeitungsebenen, auf denen eine Kombination von Methoden der künstlichen Intelligenz, des maschinellen Lernens und der mathematischen Statistik dem Netzwerk hilft, seine normale Aktivität zu erlernen, damit es bösartige Aktivitäten erkennen kann.
Die Sicherheitsanalyse-Pipeline, die Telemetriedaten aus allen Teilen eines erweiterten Netzwerks, einschließlich verschlüsseltem Datenverkehr, sammelt, ist ein einzigartiges Merkmal von Stealthwatch. Sie bildet schrittweise ein Verständnis dafür, was "anomal" ist, klassifiziert dann die tatsächlichen einzelnen Elemente der "bedrohlichen Aktivität" und trifft schließlich eine endgültige Entscheidung darüber, ob das Gerät oder der Benutzer tatsächlich kompromittiert wurde. Die Fähigkeit, kleine Teile zusammenzuführen, die zusammen den Beweis für die endgültige Entscheidung über die Kompromittierung eines Objekts bilden, wird durch eine sehr gründliche Analyse und Korrelation gewährleistet.
Diese Fähigkeit ist von großer Bedeutung, da ein typisches Unternehmen täglich eine enorme Menge an Alarmmeldungen erhalten kann, und es unmöglich ist, jede einzelne zu untersuchen – die Ressourcen von Sicherheitsexperten sind begrenzt. Das Modul für maschinelles Lernen verarbeitet praktisch in Echtzeit eine riesige Menge an Informationen, um sicherheitsrelevante Vorfälle mit hoher Zuverlässigkeit zu identifizieren und kann klare Handlungsanweisungen zur schnellen Behebung anbieten.
Lassen Sie uns die zahlreichen Methoden des maschinellen Lernens, die von Stealthwatch verwendet werden, genauer betrachten. Wenn ein Vorfall an das Modul für maschinelles Lernen von Stealthwatch übermittelt wird, durchläuft er einen Sicherheitsanalyseschlauch, in dem eine Kombination aus überwachten und unüberwachten Lernmethoden verwendet wird.
Fähigkeiten des mehrstufigen maschinellen Lernens
Stufe 1. Anomalieerkennung und Vertrauensmodellierung
Auf dieser Ebene wird 99 % des Traffics mithilfe statistischer Anomaliedetektoren herausgefiltert. Die angegebenen Sensoren bilden gemeinsam komplexe Modelle dafür, was normal und was im Gegenteil abnormal ist. Allerdings ist abnormal nicht unbedingt schädlich. Viele Vorgänge in Ihrem Netzwerk sind nicht mit Bedrohungen verbunden – sie sind einfach merkwürdig. Dabei ist es wichtig, solche Prozesse unabhängig vom bedrohlichen Verhalten zu klassifizieren. Aus diesem Grund werden die Ergebnisse solcher Detektoren einer weiteren Analyse unterzogen, um merkwürdiges Verhalten zu erfassen, das erklärt werden kann und dem vertraut werden kann. Letztendlich gelangt nur ein kleiner Teil der wichtigsten Datenströme und Anfragen auf die Ebenen 2 und 3. Ohne den Einsatz solcher Machine-Learning-Methoden wären die Betriebskosten für die Trennung von Signal und Rauschen zu hoch.
Anomalieerkennung. In der ersten Phase der Anomalieerkennung werden statistische Methoden des maschinellen Lernens verwendet, um statistisch normalen Traffic von anormalem zu trennen. Über 70 verschiedene Detektoren verarbeiten die Telemetriedaten, die Stealthwatch über den Traffic sammelt, der durch den Perimeter Ihres Netzwerks fließt, wobei interner Traffic des Domain Name Systems (DNS) und Daten von Proxy-Servern, sofern vorhanden, getrennt werden. Jede Anfrage wird von mehr als 70 Detektoren verarbeitet, wobei jeder Detektor seinen eigenen statistischen Algorithmus verwendet und eine Bewertung der erkannten Anomalien erstellt. Diese Bewertungen werden kombiniert, und durch die Anwendung mehrerer statistischer Methoden ergibt sich eine einheitliche Bewertung für jede Anfrage. Anschließend wird diese Gesamtschätzung verwendet, um normalen von anormalem Traffic zu unterscheiden.
Vertrauensmodellierung. Ähnliche Anfragen werden anschließend gruppiert, und die Gesamteinschätzung von Anomalien für diese Gruppen wird als langfristiger Mittelwert definiert. Im Laufe der Zeit werden immer mehr Anfragen analysiert und anschließend festgelegt, sodass eine Reduzierung von falsch-positiven und falsch-negativen Auslösungen möglich ist. Die Ergebnisse der Vertrauensmodellierung werden verwendet, um eine Teilmenge des Datenverkehrs auszuwählen, deren Anomalien einen bestimmten dynamisch festgelegten Schwellenwert überschreiten, um sie auf die nächste Verarbeitungsebene zu übertragen.
2. Ebene. Klassifizierung von Ereignissen und Modellierung des Objekts
Auf dieser Ebene findet die Klassifizierung der Ergebnisse statt, die in den vorherigen Phasen gewonnen wurden, und zielt auf spezifische bösartige Ereignisse. Die Klassifizierung der Ereignisse erfolgt anhand der von maschinellen Lernklassifikatoren zugewiesenen Werte, um eine konstante Genauigkeitsrate von über 90 % zu gewährleisten. Dazu gehören:
- lineare Modelle basierend auf dem Lemma von Neyman-Pearson (das Gesetz der Normalverteilung aus dem Diagramm am Anfang des Artikels)
- Support Vector Machines, die multidimensionales Lernen verwenden
- Neuronale Netze und der Algorithmus „Random Forest“.
Diese isolierten Sicherheitsereignisse werden im Laufe der Zeit mit einem einzelnen Endgerät verknüpft. An diesem Punkt wird eine Bedrohungsbeschreibung erstellt, auf deren Grundlage ein vollständiges Bild davon entsteht, wie der entsprechende Angreifer bestimmte Ergebnisse erzielt hat.
Klassifizierung von Ereignissen. Das statistisch anomale Teilset der vorherigen Ebene wird mithilfe von Klassifikatoren in mehr als 100 Kategorien verteilt. Die meisten Klassifikatoren basieren auf individuellem Verhalten, Gruppenverhältnissen oder Verhalten auf globaler oder lokaler Ebene, während andere recht spezifisch sein können. Beispielsweise kann ein Klassifikator auf den Datenverkehr von Command-Servern, verdächtigen Erweiterungen oder unbefugten Softwareupdates hinweisen. Am Ende dieser Phase wird ein Set anomaler Ereignisse im Sicherheitssystem gebildet, die bestimmten Kategorien zugeordnet sind.
Modellierung des Objekts. Wenn die Beweislast zur Unterstützung der Hypothese über die Schädlichkeit eines bestimmten Objekts den Schwellenwert der Signifikanz überschreitet, wird eine Bedrohung festgestellt. Die relevanten Ereignisse, die die Bedrohungsdefinition beeinflussten, werden mit dieser Bedrohung verknüpft und Teil des diskreten langfristigen Modells des Objekts. Im Laufe der Zeit, während Beweise gesammelt werden, identifiziert das System neue Bedrohungen, sobald der Schwellenwert der Signifikanz erreicht wird. Dieser Schwellenwert ist dynamisch und wird intelligent angepasst auf Grundlage des Risikoniveaus der Bedrohung und anderer Faktoren. Danach wird die Bedrohung im Dashboard der Weboberfläche angezeigt und auf die nächste Stufe übertragen.
3. Stufe. Modellierung der Beziehungen
Ziel der Modellierung der Beziehungen ist es, die Ergebnisse der vorherigen Stufen aus einer globalen Perspektive zu synthetisieren, unter Berücksichtigung sowohl des lokalen als auch des globalen Kontexts des jeweiligen Vorfalls. Genau an diesem Punkt können Sie feststellen, wie viele Organisationen mit einem solchen Angriff konfrontiert waren, um zu verstehen, ob dieser gezielt gegen Sie gerichtet war oder Teil einer globalen Kampagne ist, bei der Sie einfach „zwischen die Fronten geraten sind“.
Vorfälle werden bestätigt oder entdeckt. Ein bestätigter Vorfall impliziert eine Sicherheit von 99 bis 100 %, da die entsprechenden Methoden und Werkzeuge zuvor in größerem (globalem) Maßstab beobachtet wurden. Entdeckte Vorfälle sind einzigartig für Sie und Teil einer gezielten Kampagne. Die in der Vergangenheit gesammelten Ergebnisse werden unter Angabe der bekannten Vorgehensweise bereitgestellt, was Ihnen Zeit und Ressourcen bei der Reaktion spart. Sie werden zusammen mit den Ermittlungstools bereitgestellt, die Sie benötigen, um herauszufinden, wer Sie angegriffen hat, und wie stark die Ausrichtung der Kampagne auf Ihr digitales Geschäft ist. Wie Sie sich vorstellen können, übersteigt die Anzahl der bestätigten Vorfälle bei Weitem die der entdeckten, einfach aus dem Grund, dass bestätigte Vorfälle keine hohen Kosten für die Angreifer verursachen, während entdeckte Vorfälle teuer sind.
teuer, da sie neu und individualisiert sein müssen. Durch die Schaffung der Möglichkeit, bestätigte Vorfälle zu identifizieren, hat sich die Wirtschaft des Spiels endlich zugunsten der Verteidiger verschoben, was ihnen einen bestimmten Vorteil verschafft.
Mehrschichtiges Lernen des neuronalen Netzwerks auf Basis von ETA
Globale Risiko-Karte
Die globale Risiko-Karte wird durch die Analyse erstellt, die durch Algorithmen des maschinellen Lernens auf einem der größten seiner Art Datensätze in der Branche angewendet wird. Sie bietet umfassende statistische Daten über das Verhalten in Bezug auf Server im Internet, selbst wenn diese unbekannt sind. Solche Server sind mit Angriffen verbunden und können künftig in einem Angriff eingesetzt oder genutzt werden. Es handelt sich nicht um eine 'schwarze Liste', sondern um ein umfassendes Bild des betreffenden Servers aus Sicherheitsgesichtspunkten. Solche Informationen über die Aktivitäten der angegebenen Server, kontextuell aufbereitet, ermöglichen es den Detektoren und Klassifikatoren des maschinellen Lernens von Stealthwatch, den Risikograd in Bezug auf die Kommunikation mit solchen Servern genau vorherzusagen.
Verfügbare Karten ansehen .
Weltkarte, die 460 Millionen zeigt IP-Adressen
Jetzt wird das Netzwerk trainiert und schützt Ihr Netzwerk.
Ist endlich das Patentrezept gefunden?
Leider, nein. Aus Erfahrungen mit dem System kann ich sagen, dass es zwei globale Probleme gibt.
Problem 1. Preis. Das gesamte Netzwerk ist auf einem Cisco-System eingerichtet. Das hat seine Vor- und Nachteile. Der Vorteil ist, dass Sie sich keine Gedanken machen müssen und nicht eine Menge Stubs wie D-Link, MikroTik usw. installieren müssen. Der Nachteil ist die enormen Kosten des Systems. Angesichts der wirtschaftlichen Lage der russischen Unternehmen kann sich dieses Wunder zurzeit nur ein wohlhabender Eigentümer eines großen Unternehmens oder einer Bank leisten.
Problem 2. Training. Ich habe in dem Artikel keine Dauer für das Training des neuronalen Netzwerks angegeben, nicht weil es keine gibt, sondern weil es ständig lernt und wir nicht vorhersagen können, wann es gelernt haben wird. Natürlich gibt es statistische Werkzeuge (nehmen Sie beispielsweise die Formulierung des Konvergenzkriteriums von Pearson), aber das ist nur eine halbe Sache. Wir erhalten die Wahrscheinlichkeit der Verkehrsfilterung, und das auch nur unter der Bedingung, dass der Angriff bereits erlernt und bekannt ist.
Trotz dieser beiden Probleme haben wir einen großen Fortschritt in der Entwicklung der Informationssicherheit insgesamt und des Netzwerkschutzes im Besonderen gemacht. Diese Tatsache könnte motivierend für das Studium von Netzwerktechnologien und neuronalen Netzen sein, die derzeit ein sehr vielversprechendes Gebiet darstellen.
Quelle: habr.com
