StealthWatch: Analyse und Untersuchung von Vorfällen. Teil 3

Cisco StealthWatch — ist eine analytische Lösung im Bereich der IT-Sicherheit, die umfassendes Bedrohungsmonitoring in einem verteilten Netzwerk bietet. Die Funktionsweise von StealthWatch basiert auf der Sammlung von NetFlow und IPFIX von Routern, Switches und anderen Netzwerkgeräten. Dadurch wird das Netzwerk zu einem sensiblen Sensor und ermöglicht es dem Administrator, dorthin zu schauen, wo traditionelle Netzwerkschutzmethoden, wie z.B. Next Generation Firewalls, nicht gelangen.

In früheren Artikeln habe ich bereits über StealthWatch geschrieben: ein erstes Vorstellen und die Möglichkeiten, sowie Bereitstellung und Konfiguration. Jetzt schlage ich vor, weiterzumachen und zu besprechen, wie man mit Alarmen umgeht und Sicherheitsvorfälle untersucht, die von der Lösung generiert werden. Es werden 6 Beispiele gegeben, die, wie ich hoffe, einen guten Eindruck von der Nützlichkeit des Produkts geben.

Zunächst sollte gesagt werden, dass in StealthWatch eine gewisse Verteilung der Auslösungen auf Algorithmen und Feeds vorhanden ist. Die Ersten sind verschiedene Arten von Alarmen (Benachrichtigungen), bei deren Auslösen verdächtige Dinge im Netzwerk erkannt werden können. Letztere sind Sicherheitsvorfälle. In diesem Artikel werden 4 Beispiele für die Auslösungen von Algorithmen und 2 Beispiele für Feeds behandelt.

1. Analyse der umfangreichsten Interaktionen innerhalb des Netzwerks

Der erste Schritt zur Konfiguration von StealthWatch besteht darin, Hosts und Netzwerke in Gruppen zu definieren. Im Web-Interface findet man den Tab Configure > Host Group Management , wo Netzwerke, Hosts und Server in die entsprechenden Gruppen eingeteilt werden sollten. Gruppen können auch selbst erstellt werden. Übrigens ist die Analyse der Interaktionen zwischen Hosts in Cisco StealthWatch sehr praktisch, da man nicht nur Suchfilter für Ströme speichern, sondern auch die Ergebnisse selbst sichern kann.

Um zu beginnen, sollte im Web-Interface der Tab Analyze > Flow Searchaufgerufen werden. Anschließend sollten die folgenden Parameter festgelegt werden:

• Search Type — Top Conversations (die häufigsten Interaktionen)
• Time Range — 24 hours (Zeitraum, ein anderer kann verwendet werden)
• Search Name — Top Conversations Inside-Inside (ein beliebiger verständlicher Name)
• Subject — Host Groups → Inside Hosts (Quelle — Gruppe interner Knoten)
• Connection (Ports, Anwendungen können angegeben werden)
• Peer — Host Groups → Inside Hosts (Ziel — Gruppe interner Knoten)
• In den Advanced Options kann zusätzlich der Collector angegeben werden, von dem die Daten angezeigt werden, sowie die Sortierung der Ausgabe (nach Bytes, Strömen usw.). Ich lasse die Standardwerte.

Nach dem Klicken auf die Schaltfläche Suche wird eine Liste von Interaktionen ausgegeben, die bereits nach dem Umfang der übertragenen Daten sortiert sind.

In meinem Beispiel hat der Host 10.150.1.201 (Server) im Rahmen eines einzigen Streams 1,5 GB Traffic zum Host 10.150.1.200 (Client) über das Protokoll mysql. Die Schaltfläche Spalten verwalten ermöglicht es, weitere Spalten in den ausgegebenen Daten hinzuzufügen.

Darüber hinaus kann der Administrator nach eigenem Ermessen eine benutzerdefinierte Regel erstellen, die ständig bei solchen Interaktionen aktiviert wird und Benachrichtigungen über SNMP, E-Mail oder Syslog versendet.

2. Analyse der langsamsten Client-Server-Interaktionen im Netzwerk hinsichtlich Verzögerungen

Tags SRT (Server Response Time), RTT (Round Trip Time) ermöglichen es, Verzögerungen der Server und allgemeine Verzögerungen im Netzwerk zu ermitteln. Dieses Werkzeug ist besonders nützlich, wenn schnell die Ursache für die Beschwerden der Benutzer über langsame Anwendungen gefunden werden muss.

Hinweis: nahezu alle Netflow-Exporter können senden SRT-, RTT-Marken, weshalb häufig zur Ansicht solcher Daten auf FlowSensor die Übertragung einer Kopie des Traffics von Netzwerkgeräten eingerichtet werden muss. FlowSensor gibt seinerseits erweitertes IPFIX an FlowCollector weiter.

Diese Analyse lässt sich am besten in der Java-Anwendung StealthWatch durchführen, die auf dem Computer des Administrators installiert wird.

Über die rechte Maustaste auf Host-Innen und wechseln zum Tab Flow-Tabelle.

Wir klicken auf Filter und stellen die erforderlichen Parameter ein. Beispielhaft:

• Datum/Zeit — Für die letzten 3 Tage
• Leistung — Durchschnittliche Round Trip Time >=50ms

Nachdem die Daten angezeigt wurden, sollten wir die interessierenden RTT-, SRT-Felder hinzufügen. Dazu sollten wir auf die Spalte im Screenshot klicken und mit der rechten Maustaste wählen Spalten verwalten. Danach die RTT-, SRT-Parameter anklicken.

Nach der Bearbeitung der Anfrage habe ich nach dem durchschnittlichen RTT sortiert und die langsamsten Interaktionen gesehen.

Um in die Detailinformationen einzutauchen, sollten wir mit der rechten Maustaste auf den Stream klicken und wählen Schnellansicht für Flow.

Diese Informationen zeigen, dass der Host 10.201.3.59 aus der Gruppe Verkauf und Marketing über das Protokoll NFS auf den DNS-Server für eine Minute und 23 Sekunden zugreift und eine sehr schlechte Verzögerung hat. Im Tab Schnittstellen kann man erfahren, von welchem Netflow-Exporter die Informationen stammen. Im Tab Tabelle wird detailliertere Informationen zur Interaktion dargestellt.

Nun sollte man herausfinden, welche Geräte Traffic an FlowSensor senden, und das Problem steckt wahrscheinlich dort.

Darüber hinaus ist StealthWatch insofern einzigartig, als es Deduplication durchführt. Daten (vereinigt dieselben Ströme). Folglich können praktisch alle Netflow-Geräte gesammelt werden, ohne Angst zu haben, dass es viele wiederholte Daten gibt. Im Gegenteil, in diesem Schema hilft es zu verstehen, an welchem Hop die größten Verzögerungen auftreten.

3. Audit der kryptografischen Protokolle HTTPS

ETA (Encrypted Traffic Analytics) — eine von Cisco entwickelte Technologie, die es ermöglicht, bösartige Verbindungen im verschlüsselten Verkehr zu erkennen, ohne diesen zu entschlüsseln. Darüber hinaus ermöglicht diese Technologie, HTTPS nach TLS-Versionen und den kryptografischen Protokollen zu „analysieren“, die bei Verbindungen verwendet werden. Diese Funktion ist besonders nützlich, wenn es darum geht, Netzwerknoten zu erkennen, die schwache Kryptostandards verwenden.

Hinweis: Zuvor sollte die Netzwerk-App auf StealthWatch installiert werden — ETA Kryptografisches Audit.

Wechseln Sie zur Registerkarte Dashboards → ETA Kryptografisches Audit und wählen Sie die Gruppe von Hosts aus, die analysiert werden soll. Für einen Gesamtüberblick wählen wir Host-Innen.

Es ist zu beobachten, dass die TLS-Version und der entsprechende Kryptostandard angezeigt werden. Nach dem gewohnten Schema in der Spalte Aktionen gehen wir zu Flüsse anzeigen und die Suche wird in einem neuen Tab gestartet.

Aus der Ausgabe ist ersichtlich, dass der Host 198.19.20.136 über einen Zeitraum von 12 Stunden HTTPS mit TLS 1.2 verwendet hat, wobei der Verschlüsselungsalgorithmus AES-256 und die Hash-Funktion SHA-384. Somit ermöglicht ETA das Finden schwacher Algorithmen im Netzwerk.

4. Analyse von Anomalien im Netzwerk

Cisco StealthWatch kann Anomalien im Netzwerkverkehr erkennen, indem es drei Instrumente verwendet: Kernereignisse (Sicherheitsereignisse), Beziehungsevents (Ereignisse der Interaktionen zwischen Segmenten, Netzwerknoten) und verhaltensbasierte Analyse.

Die verhaltensbasierte Analyse ermöglicht es, über die Zeit ein Verhaltensmodell für einen bestimmten Host oder eine Gruppe von Hosts zu erstellen. Je mehr Verkehr durch StealthWatch läuft, desto genauer werden die Auslösungen aufgrund dieser Analyse. Zu Beginn löst das System viele Fehlalarme aus, daher sollten die Regeln manuell „justiert“ werden. Ich empfehle, in den ersten Wochen solche Ereignisse zu ignorieren, da sich das System selbst anpassen wird oder diese in Ausnahmen aufgenommen werden können.

Nachfolgend ein Beispiel für eine vordefinierte Regel Anomalie, in der steht, dass das Ereignis ohne Alarm ausgelöst wird, wenn ein Host in der Gruppe Inside Hosts mit einer Gruppe von Inside Hosts interagiert und der Verkehr in 24 Stunden 10 Megabyte überschreitet..

Als Beispiel nehmen wir Alarm Data Hoarding, was bedeutet, dass ein Quell-/Zielhost eine ungewöhnlich große Datenmenge von einer Gruppe von Hosts oder einem Host hochgeladen/ heruntergeladen hat. Wir klicken auf das Ereignis und gelangen zu einer Tabelle, in der die auslösenden Hosts angegeben sind. Dann wählen wir den Host, der uns interessiert, in der Spalte aus Data Hoarding.

Es wird ein Ereignis angezeigt, das besagt, dass 162k "Punkte" entdeckt wurden, während die Richtlinie 100k "Punkte" erlaubt — dies sind interne Metriken von StealthWatch. In der Spalte Aktionen klicken wir Flüsse anzeigen.

Wir können beobachten, dass diesen Host nachts mit dem Host 10.201.3.47 aus der Abteilung Sales & Marketing über das Protokoll HTTPS interagiert hat und heruntergeladen hat 1,4 GB. Vielleicht ist dieses Beispiel nicht ganz gelungen, aber das Erkennen von Interaktionen, die mehrere Hundert Gigabyte umfassen, erfolgt auf genau die gleiche Weise. Daher kann eine weitere Untersuchung von Anomalien zu interessanten Ergebnissen führen.

Hinweis: im Web-Interface von SMC werden die Daten in den Registerkarten Dashboards nur für die letzte Woche angezeigt und im Tab Monitor für die letzten 2 Wochen. Um Ereignisse älteren Datums zu analysieren und Berichte zu erstellen, muss man mit der Java-Konsole auf dem Computer des Administrators arbeiten.

5. Identifizierung interner Netzwerkscans

Jetzt betrachten wir einige Beispiele für Feeds — Vorfälle der Informationssicherheit. Diese Funktionalität interessiert vor allem Sicherheitsbeauftragte.

In StealthWatch gibt es mehrere vorinstallierte Arten von Scannevents:

• Port Scan — die Quelle scannt zahlreiche Ports des Zielknotens.
• Addr tcp scan — die Quelle scannt ein ganzes Netzwerk über denselben TCP-Port, wobei sie die IP-Adresse des Ziels ändert. Dabei erhält die Quelle TCP Reset-Pakete oder erhält überhaupt keine Antworten.
• Addr udp scan — die Quelle scannt ein ganzes Netzwerk über denselben UDP-Port und ändert dabei die IP-Adresse des Ziels. Dabei erhält die Quelle ICMP Port Unreachable-Pakete oder erhält überhaupt keine Antworten.
• Ping Scan — die Quelle sendet ICMP-Anfragen an ein ganzes Netzwerk, um Antworten zu finden.
• Stealth Scan tcp/udp — die Quelle verwendete denselben Port, um gleichzeitig eine Verbindung zu mehreren Ports des Zielknotens herzustellen.

Um alle internen Scanner bequem zu identifizieren, gibt es eine Netzwerk-App für StealthWatch — Visibility Assessment. Wenn Sie in den Tab Dashboards → Visibility Assessment → Internal Network Scanners wechseln, sehen Sie Sicherheitsvorfälle im Zusammenhang mit Scans aus den letzten 2 Wochen.

Wenn Sie auf die Schaltfläche Details klicken, es wird der Beginn der Scans jeder Netzwerke, der Trend des Datenverkehrs und entsprechende Warnungen sichtbar sein.

Danach kann man über den Tab im vorherigen Screenshot in den Host „eintauchen“ und Sicherheitsereignisse sowie die Aktivität der letzten Woche für diesen Host sehen.

Als Beispiel analysieren wir ein Ereignis Portscan vom Host 10.201.3.149 auf 10.201.0.72, indem Sie auf Aktionen > Zugehörige Flüsseklicken. Ein Suchlauf über die Flüsse wird gestartet und relevante Informationen ausgegeben.

Wie wir sehen, hat dieser Host von einem seiner Ports 51508/TCP vor 3 Stunden den Zielhost über die Ports 22, 28, 42, 41, 36, 40 (TCP)gescannt. Einige Felder zeigen keine Informationen an, entweder weil nicht alle Netflow-Felder vom Netflow-Exporter unterstützt werden.

6. Analyse heruntergeladener Schadsoftware mittels CTA

CTA (Cognitive Threat Analytics) ist eine Cloud-Analyse von Cisco, die sich hervorragend in Cisco StealthWatch integriert und die signaturlose Analyse um signaturbasierte ergänzt. Dadurch wird die Erkennung von Trojanern, Netzwürmern, Zero-Day-Malware und anderen Schadprogrammen und deren Verbreitung im Netzwerk möglich. Auch die zuvor erwähnte ETA-Technologie ermöglicht es, solche schädlichen Kommunikationen im verschlüsselten Datenverkehr zu analysieren.

Bereits auf dem ersten Tab im Web-Interface gibt es ein spezielles Widget Cognitive Threat Analytics.Eine kurze Zusammenfassung zeigt die erkannten Bedrohungen auf den Benutzerhosts: Trojaner, betrügerische Software, unerwünschte Werbung. Das Wort „Encrypted“ weist genau auf die Arbeit der ETA hin. Wenn Sie auf den Host klicken, erhalten Sie alle Informationen, einschließlich Sicherheitsereignisse und Protokolle zu CTA.

Wenn Sie mit der Maus über jeden Schritt von CTA fahren, wird detaillierte Information über die Interaktionen angezeigt. Für eine vollständige Analyse sollten Sie auf Ereignisdaten anzeigenklicken, und Sie gelangen in eine separate Konsole. Cognitive Threat Analytics..

In der oberen rechten Ecke ermöglicht der Filter das Anzeigen von Ereignissen nach Kritikalitätsgrad. Wenn man über eine spezifische Anomalie fährt, erscheinen im unteren Bereich des Bildschirms Protokolle mit dem entsprechenden Zeitverlauf auf der rechten Seite. So versteht der Spezialist für Informationssicherheit klar, welcher infizierte Host nach welchen Aktionen begonnen hat, welche Maßnahmen zu ergreifen.

Unten ist ein weiteres Beispiel dargestellt – ein Banktrojaner, durch den der Host 198.19.30.36befallen wurde. Dieser Host begann mit schädlichen Domains zu interagieren, und in den Protokollen wird die Information über die Flüsse dieser Interaktionen angezeigt.

Eine der besten Lösungen, die es geben kann, ist es, den Host dank der nativen der Integration mit Cisco ISE für eine weitere Behandlung und Analyse in Quarantäne zu senden.

Fazit

Die Lösung Cisco StealthWatch gehört zu den führenden Produkten für Netzwerküberwachung sowohl im Hinblick auf die Netzwerk- als auch auf die Informationssicherheit. Damit lassen sich illegitime Interaktionen im Netzwerk, Anwendungszeiten, die aktivsten Benutzer, Anomalien, Malware und APTs erkennen. Darüber hinaus können Scans, Penetrationstests durchgeführt und eine Krypto-Auditierung des HTTPS-Verkehrs vorgenommen werden. Weitere Anwendungsfälle finden Sie unter dem Link.

Wenn Sie überprüfen möchten, wie reibungslos und effizient Ihr Netzwerk funktioniert, senden Sie Ticket.
In naher Zukunft planen wir einige technische Veröffentlichungen zu verschiedenen Sicherheitsprodukten. Wenn Sie an diesem Thema interessiert sind, folgen Sie unseren Updates in unseren Kanälen (Telegram, Facebook, VK, TS Solution Blog)!

Quelle: habr.com