{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analyse des verschl\u00fcsselten Verkehrs ohne dessen Entschl\u00fcsselung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

System zur Analyse von Verkehr ohne dessen Entschl\u00fcsselung. Diese Methode wird einfach als \u201emaschinelles Lernen\u201c bezeichnet. Es stellte sich heraus, dass, wenn man einem speziellen Klassifikator eine sehr gro\u00dfe Menge unterschiedlichen Verkehrs zuf\u00fchrt, das System mit sehr hoher Wahrscheinlichkeit die Aktionen von Schadsoftware innerhalb des verschl\u00fcsselten Verkehrs erkennen kann.<\/p>\n

<\/p>\n

\"Analyse<\/p>\n

<\/a><\/noindex><\/p>\n

Netzwerktechniken haben sich ver\u00e4ndert und sind \u201eintelligent\u201c geworden. In letzter Zeit hat sich das Konzept von Angriff und Verteidigung ver\u00e4ndert. Die Anzahl der Ereignisse im Netzwerk ist drastisch gestiegen. Angriffe sind raffinierter geworden, und Hacker haben einen gr\u00f6\u00dferen Angriffsbereich.<\/p>\n

<\/p>\n

Laut Cisco haben Kriminelle im vergangenen Jahr die Anzahl der Schadprogramme, die sie f\u00fcr ihre Aktivit\u00e4ten nutzen, verdreifacht, genauer gesagt zur Verschleierung ihrer Aktivit\u00e4ten \u2013 Verschl\u00fcsselung. Aus der Theorie ist bekannt, dass ein \u201erichtiger\u201c Verschl\u00fcsselungsalgorithmus nicht gehackt werden kann. Um zu verstehen, was sich im Inneren des verschl\u00fcsselten Verkehrs verbirgt, muss man ihn entweder mit dem Schl\u00fcssel entschl\u00fcsseln, versuchen, ihn mit verschiedenen Tricks oder durch rohe Gewalt zu entschl\u00fcsseln, oder Schwachstellen in kryptographischen Protokollen auszunutzen.<\/p>\n

<\/p>\n

\"Analyse
\nDas Bild der Netzwerktechniken unserer Zeit<\/em><\/p>\n

<\/p>\n

Maschinelles Lernen<\/h3>\n

<\/p>\n

Kenne die Technologie beim Namen! Bevor wir dar\u00fcber sprechen, wie die Entschl\u00fcsselungstechnologie auf Basis von maschinellem Lernen funktioniert, m\u00fcssen wir kl\u00e4ren, wie die Technologie der neuronalen Netze funktioniert.<\/p>\n

<\/p>\n

Maschinelles Lernen (Machine Learning) ist ein umfangreicher Teilbereich der k\u00fcnstlichen Intelligenz, der Methoden zur Erstellung von Algorithmen untersucht, die lernen k\u00f6nnen. Diese Wissenschaft zielt darauf ab, mathematische Modelle des \u201eLernens\u201c von Computern zu schaffen. Ziel des Lernens ist die Vorhersage von irgendetwas. Im menschlichen Verst\u00e4ndnis nennen wir diesen Prozess \u201eWeisheit\u201c \u201eWeisheit\u201c<\/em>. Weisheit zeigt sich bei Menschen, die genug Jahre gelebt haben (ein 2-j\u00e4hriges Kind kann nicht weise sein). Wenn wir \u00e4ltere Kollegen um Rat fragen, geben wir ihnen Informationen \u00fcber ein Ereignis (Eingabedaten) und bitten um Hilfe. Sie erinnern sich wiederum an alle Situationen aus ihrem Leben, die irgendwie mit Ihrem Problem verbunden sind (Wissensdatenbank), und auf der Grundlage dieses Wissens (Daten) geben sie uns gewisserma\u00dfen eine Vorhersage (Rat). Diese Art von Rat wird als Vorhersage bezeichnet, weil die Person, die den Rat gibt, nicht genau wei\u00df, was passieren wird, sondern nur Vermutungen anstellt. Die Lebenserfahrung zeigt, dass eine Person sowohl recht haben als auch sich irren kann.<\/p>\n

<\/p>\n

Es ist nicht sinnvoll, neuronale Netzwerke mit dem Verzweigungsalgorithmus (if-else) zu vergleichen. Das sind verschiedene Dinge und es gibt wesentliche Unterschiede zwischen ihnen. Der Verzweigungsalgorithmus hat ein klares \u201eVerst\u00e4ndnis\u201c, was zu tun ist. Ich werde das mit Beispielen demonstrieren.<\/p>\n

<\/p>\n

Aufgabe. Bestimmen des Bremsweges eines Fahrzeugs nach Marke und Baujahr.<\/p>\n

<\/p>\n

Beispiel f\u00fcr die Funktionsweise des Verzweigungsalgorithmus. Wenn das Fahrzeug die Marke 1 hat und im Jahr 2012 hergestellt wurde, betr\u00e4gt der Bremsweg 10 Meter; andernfalls, wenn das Fahrzeug die Marke 2 hat und im Jahr 2011 hergestellt wurde, und so weiter.<\/p>\n

<\/p>\n

Beispiel f\u00fcr die Funktionsweise eines neuronalen Netzwerks. Wir sammeln Daten \u00fcber Bremswege von Fahrzeugen in den letzten 20 Jahren. Nach Marke und Jahr erstellen wir eine Tabelle der Art \u201eMarke-Baujahr-Bremsweg\u201c. Wir geben diese Tabelle an das neuronale Netzwerk und beginnen mit dem Lernen. Das Training erfolgt wie folgt: Wir geben dem neuronalen Netzwerk Daten, jedoch ohne Bremsweg. Das Netzwerk versucht vorherzusagen, wie der Bremsweg sein wird, basierend auf der in die Tabelle geladenen Informationen. Es sagt etwas voraus und stellt dem Benutzer die Frage: \u201eLiege ich richtig?\u201c Bevor sie die Frage stellt, erstellt es eine vierte Spalte \u2013 die Spalte f\u00fcr die Vermutung. Wenn es richtig liegt, tr\u00e4gt es 1 in die vierte Spalte ein, bei einem Fehler 0. Das neuronale Netzwerk geht zum n\u00e4chsten Ereignis (auch wenn es einen Fehler gemacht hat). So lernt das Netzwerk, und wenn das Training abgeschlossen ist (ein bestimmtes Konvergenzkriterium erreicht ist), geben wir die Daten zu dem Fahrzeug, das uns interessiert, und erhalten schlie\u00dflich die Antwort.<\/p>\n

<\/p>\n

Um die Frage nach dem Konvergenzkriterium zu kl\u00e4ren, erkl\u00e4re ich, dass es sich um eine mathematisch abgeleitete Formel f\u00fcr Statistik handelt. Ein anschauliches Beispiel f\u00fcr zwei unterschiedliche Konvergenzformeln. Rot \u2013 bin\u00e4re Konvergenz, Blau \u2013 normale Konvergenz.<\/p>\n

<\/p>\n

\"Analyse
\nBinomial- und Normalverteilung der Wahrscheinlichkeit<\/em><\/p>\n

<\/p>\n

Um es besser zu verstehen, stellen Sie die Frage: \u201eWie hoch ist die Wahrscheinlichkeit, einem Dinosaurier zu begegnen?\u201c. Es gibt 2 Antwortm\u00f6glichkeiten. M\u00f6glichkeit 1 \u2013 sehr gering (blaue Grafik). M\u00f6glichkeit 2 \u2013 entweder man begegnet ihm oder nicht (rote Grafik).<\/p>\n

<\/p>\n

Nat\u00fcrlich ist ein Computer nicht ein Mensch und lernt anders. Es werden 2 Arten des Lernens des \u201eeisernen Pferdes\u201c unterschieden \u2013 pr\u00e4zedenzbasiertes Lernen<\/strong> und deduktives Lernen<\/strong>.<\/p>\n

<\/p>\n

Pr\u00e4zedenzbasiertes Lernen ist eine Methode, die auf mathematischen Gesetzen basiert. Mathematiker sammeln Statistiken, ziehen Schlussfolgerungen und laden das Ergebnis in ein neuronales Netzwerk \u2013 eine Formel zur Berechnung \u2013 hoch.<\/p>\n

<\/p>\n

Deduktives Lernen findet vollst\u00e4ndig im neuronalen Netzwerk statt (von der Datensammlung bis zur Analyse). Hier wird eine Tabelle ohne Formel, aber mit Statistiken gebildet.<\/p>\n

<\/p>\n

Ein umfassender \u00dcberblick \u00fcber die Technologie w\u00fcrde noch einige Dutzend Artikel erfordern. F\u00fcr unser allgemeines Verst\u00e4ndnis reicht das vorerst aus.<\/p>\n

<\/p>\n

Neuroplastizit\u00e4t<\/h3>\n

<\/p>\n

In der Biologie gibt es das Konzept der Neuroplastizit\u00e4t. Neuroplastizit\u00e4t ist die F\u00e4higkeit von Neuronen (Hirnzellen), \u201esituationsabh\u00e4ngig\u201c zu handeln. Zum Beispiel h\u00f6rt ein sehbehinderter Mensch besser Ger\u00e4usche, riecht mehr und sp\u00fcrt Objekte. Das geschieht, weil ein Teil des Gehirns (ein Teil der Neuronen), der f\u00fcr das Sehen verantwortlich ist, seine Funktionalit\u00e4t umverteilt.<\/p>\n

<\/p>\n

Ein anschauliches Beispiel f\u00fcr Neuroplastizit\u00e4t im Leben ist der BrainPort.<\/p>\n

<\/p>\n

Im Jahr 2009 gab die Universit\u00e4t Wisconsin in Madison die Einf\u00fchrung eines neuen Ger\u00e4ts bekannt, das die Ideen eines \u201esprachlichen Displays\u201c entwickelt \u2013 es wurde BrainPort genannt. BrainPort funktioniert nach folgendem Algorithmus: Videosignale werden von einer Kamera an einen Prozessor \u00fcbertragen, der den Zoom, die Helligkeit und andere Parameter des Bildes steuert. Er wandelt auch digitale Signale in elektrische Impulse um und \u00fcbernimmt faktisch die Funktionen der Netzhaut.<\/p>\n

<\/p>\n

\"Analyse
\nBrainPort-Lutscher mit Brille und Kamera<\/em><\/p>\n

<\/p>\n

\"Analyse
\nBrainPort in Aktion<\/em><\/p>\n

\n

\r\n \"Video\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Das ist auch bei Computern der Fall. Wenn das neuronale Netzwerk eine Ver\u00e4nderung im Prozess sp\u00fcrt, passt es sich daran an. Das ist der wesentliche Vorteil neuronaler Netzwerke im Vergleich zu anderen Algorithmen \u2013 Autonomie. Eine Art Menschlichkeit.<\/p>\n

<\/p>\n

Encrypted Traffic Analytics<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics ist Teil des Stealthwatch-Systems. Stealthwatch ist eine Entwicklung von Cisco im Bereich Sicherheits\u00fcberwachungs- und Analysetools, die Unternehmensdaten aus der bestehenden Netzwerk-Infrastruktur nutzen.<\/p>\n

<\/p>\n

Die Stealthwatch Enterprise basiert auf den Tools Flow Rate License, Flow Collector, Management Console und Flow Sensor.<\/p>\n

<\/p>\n

\"Analyse
\nCisco Stealthwatch Benutzeroberfl\u00e4che<\/em><\/p>\n

<\/p>\n

Das Problem mit der Verschl\u00fcsselung ist in den Vordergrund ger\u00fcckt, da viel mehr Datenverkehr verschl\u00fcsselt wird. Fr\u00fcher wurde haupts\u00e4chlich der Code verschl\u00fcsselt, jetzt wird der gesamte Datenverkehr verschl\u00fcsselt, was es erheblich schwieriger macht, 'reine' Daten von Viren zu trennen. Ein markantes Beispiel ist WannaCry, der Tor nutzte, um seine Pr\u00e4senz im Netzwerk zu verbergen.<\/p>\n

<\/p>\n

\"Analyse
\nVisualisierung des Anstiegs der verschl\u00fcsselten Datenverkehrs im Netzwerk<\/em><\/p>\n

<\/p>\n

\"Analyse
\nVerschl\u00fcsselung in der Makro\u00f6konomie<\/em><\/p>\n

<\/p>\n

Das System Encrypted Traffic Analytics (ETA) ist genau daf\u00fcr notwendig, um mit verschl\u00fcsseltem Datenverkehr zu arbeiten, ohne ihn zu entschl\u00fcsseln. Angreifer sind clever und nutzen kryptographisch sichere Verschl\u00fcsselungsalgorithmen, ihren Bruch herzustellen ist nicht nur ein Problem, sondern auch mit enormen Kosten f\u00fcr Organisationen verbunden.<\/p>\n

<\/p>\n

Das System funktioniert wie folgt. Ein gewisser Datenverkehr kommt ins Unternehmen. Er gelangt in TLS (Transport Layer Security \u2014 Protokoll f\u00fcr den Schutz der Transportschicht). Angenommen, der Datenverkehr ist verschl\u00fcsselt. Wir versuchen, eine Reihe von Fragen zu beantworten, was f\u00fcr eine Verbindung hergestellt wurde.<\/p>\n

<\/p>\n

\"Analyse
\nFunktionsweise des Systems Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Um diese Fragen zu beantworten, verwenden wir maschinelles Lernen in diesem System. Es werden Forschungen von Cisco herangezogen und auf Basis dieser Forschungen wird eine Tabelle aus zwei Ergebnissen erstellt \u2013 sch\u00e4dlicher und 'guter' Datenverkehr. Nat\u00fcrlich wissen wir nicht genau, was f\u00fcr ein Datenverkehr gerade ins System gelangt ist, aber wir k\u00f6nnen die Geschichte des Datenverkehrs sowohl im Unternehmen als auch au\u00dferhalb davon anhand von globalen Daten nachverfolgen. Am Ende dieses Schrittes erhalten wir eine riesige Tabelle mit Daten.<\/p>\n

<\/p>\n

Die Forschungsergebnisse zeigen charakteristische Merkmale \u2013 bestimmte Regeln, die in mathematischer Form festgehalten werden k\u00f6nnen. Diese Regeln variieren stark je nach Kriterien \u2013 der Gr\u00f6\u00dfe der \u00fcbertragene Dateien, der Art der Verbindung, dem Land, aus dem der Datenverkehr stammt, usw. Infolge der Arbeit wurde eine riesige Tabelle in eine Sammlung zahlreicher Formeln umgewandelt. Es wurden weniger, aber nicht genug f\u00fcr eine komfortable Arbeit.<\/p>\n

<\/p>\n

Anschlie\u00dfend wird die Technologie des maschinellen Lernens angewendet \u2013 die Konvergenz der Formel und aus dem Ergebnis der Konvergenz erhalten wir einen Trigger \u2013 einen Schalter, bei dem beim Datenausgang ein Schalter (Flag) in aufrechter oder abgesenkter Position aktiviert wird.<\/p>\n

<\/p>\n

Der Ergebnisprozess \u2013 die Erfassung einer Reihe von Triggern, die 99 % des Verkehrs abdecken.<\/p>\n

<\/p>\n

\"Analyse
\n\u00dcberpr\u00fcfungsphasen des Verkehrs in ETA<\/em><\/p>\n

<\/p>\n

Ein weiteres Problem wird durch die Arbeit gel\u00f6st \u2013 der Angriff von innen. Es sind keine Menschen mehr erforderlich, die den Verkehr manuell filtern (in diesem Punkt mache ich mir selbst das Leben schwer). Erstens sind keine hohen Ausgaben mehr f\u00fcr einen qualifizierten Systemadministrator erforderlich (ich mache mir das Leben weiter schwer). Zweitens besteht keine Gefahr eines internen Hacks (zumindest teilweise).<\/p>\n

<\/p>\n

\"Analyse
\nVeraltetes Konzept des Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Lassen Sie uns nun die Basis des Systems betrachten.<\/p>\n

<\/p>\n

Das System funktioniert mit 4 Kommunikationsprotokollen: TCP\/IP \u2013 Daten\u00fcbertragungsprotokoll im Internet, DNS \u2013 Domainnamenserver, TLS \u2013 Protokoll f\u00fcr den Schutz der Transportschicht, SPLT (SpaceWire Physical Layer Tester) \u2013 Tester f\u00fcr die physische Kommunikationsschicht.<\/p>\n

<\/p>\n

\"Analyse
\nProtokolle, die mit ETA arbeiten<\/em><\/p>\n

<\/p>\n

Die Analyse erfolgt durch den Vergleich von Daten. Die Reputation von Webseiten wird \u00fcber die Protokolle TCP\/IP \u00fcberpr\u00fcft (Besuchsverlauf, Zweck der Webseite usw.), und dank des DNS-Protokolls k\u00f6nnen wir 'schlechte' Webseitenadressen ausschlie\u00dfen. Das TLS-Protokoll arbeitet mit den 'Fingerabdr\u00fccken' von Webseiten und \u00fcberpr\u00fcft diese anhand einer Datenbank des Computer Emergency Response Teams (CERT). Der letzte Pr\u00fcfungsprozess \u2013 die \u00dcberpr\u00fcfung auf physischer Ebene. Die Details dieser Phase werden nicht spezifiziert, aber es geht darum, die Sinus- und Kosinuskurven der Daten\u00fcbertragung auf oszillographischen Ger\u00e4ten zu \u00fcberpr\u00fcfen, d.h. durch die Struktur der Anfrage auf physischer Ebene bestimmen wir den Zweck der Verbindung.<\/p>\n

<\/p>\n

Durch die Arbeit des Systems k\u00f6nnen wir Daten aus verschl\u00fcsseltem Traffic extrahieren. Durch das Studium der Pakete k\u00f6nnen wir maximale Informationen aus unverschl\u00fcsselten Feldern im Paket selbst lesen. Durch die Inspektion des Pakets auf physikalischer Ebene erfahren wir die Eigenschaften des Pakets (teilweise oder vollst\u00e4ndig). Au\u00dferdem sollte man die Reputation der Seiten nicht vergessen. Wenn die Anfrage von einer .onion-Quelle stammt, ist Vorsicht geboten. Um die Arbeit mit solchen Daten zu vereinfachen, wurde eine Risikokarte erstellt.<\/p>\n

<\/p>\n

\"Analyse
\nErgebnis der ETA-Arbeit<\/em><\/p>\n

<\/p>\n

Und alles schien gut zu sein, aber lassen Sie uns \u00fcber die Bereitstellung des Netzwerks sprechen.<\/p>\n

<\/p>\n

Physikalische Umsetzung der ETA<\/h3>\n

<\/p>\n

Hier treten eine Reihe von Nuancen und Feinheiten auf. Erstens ist f\u00fcr die Erstellung eines solchen
\nNetzwerks mit hochrangiger Software die Datensammlung erforderlich. Die Daten manuell zu sammeln ist \u00e4u\u00dferst
\naufwendig, w\u00e4hrend die Implementierung eines Reaktionssystems bereits interessanter ist. Zweitens m\u00fcssen die
\nDaten umfangreich sein, was bedeutet, dass die installierten Sensoren im Netzwerk nicht nur autonom, sondern
\nauch in einem fein abgestimmten Modus arbeiten m\u00fcssen, was eine Reihe von Schwierigkeiten mit sich bringt.<\/p>\n

<\/p>\n

\"Analyse
\nSensoren und Stealthwatch-System<\/em><\/p>\n

<\/p>\n

Einen Sensor zu installieren ist eine Sache, ihn einzustellen eine ganz andere Herausforderung. F\u00fcr die Konfiguration der Sensoren gibt es ein System, das nach der folgenden Topologie funktioniert \u2013 ISR = Cisco Integrated Services Router; ASR = Cisco Aggregation Services Router; CSR = Cisco Cloud Services Router; WLC = Cisco Wireless LAN Controller; IE = Cisco Industrial Ethernet; ASA = Cisco Adaptive Security Appliance; FTD = Cisco Firepower Threat Defense; WSA = Web Security Appliance; ISE = Identity Services Engine<\/p>\n

<\/p>\n

\"Analyse
\nIntegrierte \u00dcberwachung unter Ber\u00fccksichtigung aller Telemetriedaten<\/em><\/p>\n

<\/p>\n

Bei Netzwerkadministratoren beginnt das Herzrasen bei der Anzahl der W\u00f6rter \"Cisco\" im vorherigen Absatz. Der Preis f\u00fcr dieses Wunder ist nicht gering, aber darum geht es heute nicht...<\/p>\n

<\/p>\n

Die Modellierung des Hackerverhaltens erfolgt wie folgt. Stealthwatch \u00fcberwacht die Aktivit\u00e4t jedes Ger\u00e4ts im Netzwerk sorgf\u00e4ltig und ist in der Lage, ein Muster des normalen Verhaltens zu erstellen. Dar\u00fcber hinaus bietet diese L\u00f6sung ein tiefes Verst\u00e4ndnis f\u00fcr bekanntes unzul\u00e4ssiges Verhalten. Im Rahmen dieser L\u00f6sung werden etwa 100 verschiedene Analysealgorithmen oder heuristische Regeln verwendet, die sich auf verschiedene Arten von Verkehrsverhalten beziehen, wie z. B. Scannen, \u00dcbertragung von Notfallmeldungen von Knoten, Passwort-Cracking, vermuteter Datendiebstahl, vermuteter Datenverlust usw. Die genannten Sicherheitsereignisse fallen unter die Kategorie der logischen Hochalarme. Einige Sicherheitsereignisse k\u00f6nnen auch f\u00fcr sich genommen Alarme ausl\u00f6sen. Somit ist das System in der Lage, zahlreiche isolierte anomale Vorf\u00e4lle zu korrelieren und sie zu b\u00fcndeln, um den m\u00f6glichen Angriffstyp zu bestimmen sowie diesen einem bestimmten Ger\u00e4t und Benutzer zuzuordnen (Abbildung 2). Dar\u00fcber hinaus kann der Vorfall dynamisch und unter Ber\u00fccksichtigung verwandter Telemetriedaten untersucht werden. Dies stellt kontextuelle Informationen in ihrer besten Form dar. \u00c4rzte, die einen Patienten untersuchen, um zu verstehen, was passiert ist, betrachten die Symptome nicht isoliert. Sie studieren das Gesamtbild f\u00fcr die Diagnose. \u00c4hnlich erfasst Stealthwatch jede anomale Aktivit\u00e4t im Netzwerk und untersucht sie im Kontext, um Alarme unter Ber\u00fccksichtigung des Kontextes zu senden, wodurch Sicherheitsexperten helfen, Risiken zu priorisieren.<\/p>\n

<\/p>\n

\"Analyse
\nAnomalieerkennung durch Verhaltensmodellierung<\/em><\/p>\n

<\/p>\n

Die physische Bereitstellung des Netzwerks sieht folgenderma\u00dfen aus:<\/p>\n

<\/p>\n

\"Analyse
\nVariante der Bereitstellung eines Filialnetzes (vereinfacht)<\/em><\/p>\n

<\/p>\n

\"Analyse
\nVariante der Bereitstellung eines Filialnetzes<\/em><\/p>\n

<\/p>\n

Das Netzwerk ist bereitgestellt, aber die Frage bez\u00fcglich des neuronalen Netzes bleibt offen. Ein Datennetzwerk wurde organisiert, Sensoren wurden an den Schwellen installiert und das Informationssammlungssystem wurde gestartet, aber das neuronale Netz war vorerst nicht beteiligt.<\/p>\n

<\/p>\n

Mehrschichtiges neuronales Netz<\/h3>\n

<\/p>\n

Das System analysiert das Verhalten von Benutzern und Ger\u00e4ten, um b\u00f6sartige Infektionen, Kommunikationen mit Command-Servern, Datenlecks sowie potenziell unerw\u00fcnschte Anwendungen, die in der Infrastruktur der Organisation arbeiten, zu identifizieren. Es gibt mehrere Datenverarbeitungsebenen, auf denen eine Kombination von Methoden der k\u00fcnstlichen Intelligenz, des maschinellen Lernens und der mathematischen Statistik dem Netzwerk hilft, seine normale Aktivit\u00e4t zu erlernen, damit es b\u00f6sartige Aktivit\u00e4ten erkennen kann.<\/p>\n

<\/p>\n

Die Sicherheitsanalyse-Pipeline, die Telemetriedaten aus allen Teilen eines erweiterten Netzwerks, einschlie\u00dflich verschl\u00fcsseltem Datenverkehr, sammelt, ist ein einzigartiges Merkmal von Stealthwatch. Sie bildet schrittweise ein Verst\u00e4ndnis daf\u00fcr, was \"anomal\" ist, klassifiziert dann die tats\u00e4chlichen einzelnen Elemente der \"bedrohlichen Aktivit\u00e4t\" und trifft schlie\u00dflich eine endg\u00fcltige Entscheidung dar\u00fcber, ob das Ger\u00e4t oder der Benutzer tats\u00e4chlich kompromittiert wurde. Die F\u00e4higkeit, kleine Teile zusammenzuf\u00fchren, die zusammen den Beweis f\u00fcr die endg\u00fcltige Entscheidung \u00fcber die Kompromittierung eines Objekts bilden, wird durch eine sehr gr\u00fcndliche Analyse und Korrelation gew\u00e4hrleistet.<\/p>\n

<\/p>\n

Diese F\u00e4higkeit ist von gro\u00dfer Bedeutung, da ein typisches Unternehmen t\u00e4glich eine enorme Menge an Alarmmeldungen erhalten kann, und es unm\u00f6glich ist, jede einzelne zu untersuchen \u2013 die Ressourcen von Sicherheitsexperten sind begrenzt. Das Modul f\u00fcr maschinelles Lernen verarbeitet praktisch in Echtzeit eine riesige Menge an Informationen, um sicherheitsrelevante Vorf\u00e4lle mit hoher Zuverl\u00e4ssigkeit zu identifizieren und kann klare Handlungsanweisungen zur schnellen Behebung anbieten.<\/p>\n

<\/p>\n

Lassen Sie uns die zahlreichen Methoden des maschinellen Lernens, die von Stealthwatch verwendet werden, genauer betrachten. Wenn ein Vorfall an das Modul f\u00fcr maschinelles Lernen von Stealthwatch \u00fcbermittelt wird, durchl\u00e4uft er einen Sicherheitsanalyseschlauch, in dem eine Kombination aus \u00fcberwachten und un\u00fcberwachten Lernmethoden verwendet wird.<\/p>\n

<\/p>\n

\"Analyse
\nF\u00e4higkeiten des mehrstufigen maschinellen Lernens<\/em><\/p>\n

<\/p>\n

Stufe 1. Anomalieerkennung und Vertrauensmodellierung<\/h3>\n

<\/p>\n

Auf dieser Ebene wird 99 % des Traffics mithilfe statistischer Anomaliedetektoren herausgefiltert. Die angegebenen Sensoren bilden gemeinsam komplexe Modelle daf\u00fcr, was normal und was im Gegenteil abnormal ist. Allerdings ist abnormal nicht unbedingt sch\u00e4dlich. Viele Vorg\u00e4nge in Ihrem Netzwerk sind nicht mit Bedrohungen verbunden \u2013 sie sind einfach merkw\u00fcrdig. Dabei ist es wichtig, solche Prozesse unabh\u00e4ngig vom bedrohlichen Verhalten zu klassifizieren. Aus diesem Grund werden die Ergebnisse solcher Detektoren einer weiteren Analyse unterzogen, um merkw\u00fcrdiges Verhalten zu erfassen, das erkl\u00e4rt werden kann und dem vertraut werden kann. Letztendlich gelangt nur ein kleiner Teil der wichtigsten Datenstr\u00f6me und Anfragen auf die Ebenen 2 und 3. Ohne den Einsatz solcher Machine-Learning-Methoden w\u00e4ren die Betriebskosten f\u00fcr die Trennung von Signal und Rauschen zu hoch.<\/p>\n

<\/p>\n

Anomalieerkennung.<\/strong> In der ersten Phase der Anomalieerkennung werden statistische Methoden des maschinellen Lernens verwendet, um statistisch normalen Traffic von anormalem zu trennen. \u00dcber 70 verschiedene Detektoren verarbeiten die Telemetriedaten, die Stealthwatch \u00fcber den Traffic sammelt, der durch den Perimeter Ihres Netzwerks flie\u00dft, wobei interner Traffic des Domain Name Systems (DNS) und Daten von Proxy-Servern, sofern vorhanden, getrennt werden. Jede Anfrage wird von mehr als 70 Detektoren verarbeitet, wobei jeder Detektor seinen eigenen statistischen Algorithmus verwendet und eine Bewertung der erkannten Anomalien erstellt. Diese Bewertungen werden kombiniert, und durch die Anwendung mehrerer statistischer Methoden ergibt sich eine einheitliche Bewertung f\u00fcr jede Anfrage. Anschlie\u00dfend wird diese Gesamtsch\u00e4tzung verwendet, um normalen von anormalem Traffic zu unterscheiden.<\/p>\n

<\/p>\n

Vertrauensmodellierung.<\/strong> \u00c4hnliche Anfragen werden anschlie\u00dfend gruppiert, und die Gesamteinsch\u00e4tzung von Anomalien f\u00fcr diese Gruppen wird als langfristiger Mittelwert definiert. Im Laufe der Zeit werden immer mehr Anfragen analysiert und anschlie\u00dfend festgelegt, sodass eine Reduzierung von falsch-positiven und falsch-negativen Ausl\u00f6sungen m\u00f6glich ist. Die Ergebnisse der Vertrauensmodellierung werden verwendet, um eine Teilmenge des Datenverkehrs auszuw\u00e4hlen, deren Anomalien einen bestimmten dynamisch festgelegten Schwellenwert \u00fcberschreiten, um sie auf die n\u00e4chste Verarbeitungsebene zu \u00fcbertragen.<\/p>\n

<\/p>\n

2. Ebene. Klassifizierung von Ereignissen und Modellierung des Objekts<\/h3>\n

<\/p>\n

Auf dieser Ebene findet die Klassifizierung der Ergebnisse statt, die in den vorherigen Phasen gewonnen wurden, und zielt auf spezifische b\u00f6sartige Ereignisse. Die Klassifizierung der Ereignisse erfolgt anhand der von maschinellen Lernklassifikatoren zugewiesenen Werte, um eine konstante Genauigkeitsrate von \u00fcber 90 % zu gew\u00e4hrleisten. Dazu geh\u00f6ren:<\/p>\n

<\/p>\n