{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analyse von verschl\u00fcsseltem Traffic ohne dessen Entschl\u00fcsselung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ein System zur Analyse von Verkehr, ohne ihn zu entschl\u00fcsseln. Diese Methode nennt man einfach \u2013 \u201emaschinelles Lernen\u201c. Es hat sich gezeigt, dass ein spezieller Klassifikator, wenn er mit einer sehr gro\u00dfen Menge unterschiedlicher Daten gef\u00fcttert wird, mit sehr hoher Wahrscheinlichkeit die Aktivit\u00e4ten von sch\u00e4dlichem Code innerhalb des verschl\u00fcsselten Verkehrs erkennen kann.<\/p>\n

<\/p>\n

\"Analyse<\/p>\n

<\/a><\/noindex><\/p>\n

Netzwerkbedrohungen haben sich ver\u00e4ndert und sind \u201eintelligenter\u201c geworden. Konzeptionen von Angriff und Verteidigung haben sich in letzter Zeit gewandelt. Die Anzahl der Ereignisse im Netzwerk hat sich vervielfacht. Angriffe sind raffinierter geworden, und Hacker haben einen breiteren Angriffsspielraum.<\/p>\n

<\/p>\n

Laut Cisco haben Angreifer in den letzten zw\u00f6lf Monaten die Zahl ihrer sch\u00e4dlichen Programme, die sie f\u00fcr ihre Aktivit\u00e4ten nutzen, um das Dreifache erh\u00f6ht, insbesondere zur Verschleierung \u2013 durch Verschl\u00fcsselung. Aus der Theorie ist bekannt, dass ein \u201eordentlich\u201c implementierter Verschl\u00fcsselungsalgorithmus nicht geknackt werden kann. Um zu verstehen, was sich im Inneren des verschl\u00fcsselten Verkehrs verbirgt, muss man entweder entschl\u00fcsseln, indem man den Schl\u00fcssel kennt, oder versuchen, ihn mit verschiedenen Tricks zu entschl\u00fcsseln, oder brute-force Angriffe durchf\u00fchren, oder Schwachstellen in den kryptografischen Protokollen ausnutzen.<\/p>\n

<\/p>\n

\"Analyse
\nDas Bild der Netzwerkbedrohungen unserer Zeit<\/em><\/p>\n

<\/p>\n

Maschinelles Lernen<\/h3>\n

<\/p>\n

Erkennen Sie die Technologie! Bevor wir besprechen, wie die Technologie des maschinellen Lernens funktioniert, m\u00fcssen wir die Funktionsweise von neuronalen Netzen kl\u00e4ren.<\/p>\n

<\/p>\n

Maschinelles Lernen (Machine Learning) ist ein umfangreicher Bereich der k\u00fcnstlichen Intelligenz, der sich mit Methoden zum Aufbau von Algorithmen besch\u00e4ftigt, die lernen k\u00f6nnen. Dieses Fachgebiet ist darauf ausgerichtet, mathematische Modelle f\u00fcr das \u201eLernen\u201c von Computern zu schaffen. Das Ziel des Lernens ist die Vorhersage von irgendetwas. Im menschlichen Verst\u00e4ndnis nennen wir diesen Prozess \u201a Weisheit\u2018<\/em>. Weisheit zeigt sich bei Menschen, die viele Jahre gelebt haben (ein 2-j\u00e4hriges Kind kann nicht weise sein). Wenn wir \u00e4ltere Freunde um Rat fragen, geben wir ihnen Informationen \u00fcber ein Ereignis (Eingaben) und bitten um Hilfe. Sie erinnern sich an alle Lebenssituationen, die mit Ihrem Problem verbunden sind (Wissensbasis), und auf Grundlage dieses Wissens (Daten) geben sie uns eine Art Vorhersage (Rat). Diese Art von Rat wird als Vorhersage bezeichnet, weil die Person, die den Rat gibt, nicht sicher wei\u00df, was passieren wird, sondern nur vermutet. Lebenserfahrung zeigt, dass die Person recht haben kann, aber auch irren kann.<\/p>\n

<\/p>\n

Es ist nicht richtig, neuronale Netze mit einem Verzweigungsalgorithmus (if-else) zu vergleichen. Das sind verschiedene Dinge und es gibt grundlegende Unterschiede zwischen ihnen. Der Verzweigungsalgorithmus hat ein klares \u201eVerst\u00e4ndnis\u201c dar\u00fcber, was zu tun ist. Ich werde es anhand von Beispielen demonstrieren.<\/p>\n

<\/p>\n

Aufgabe. Bestimmen Sie den Bremsweg eines Fahrzeugs anhand seiner Marke und des Baujahrs.<\/p>\n

<\/p>\n

Beispiel f\u00fcr die Funktionsweise des Verzweigungsalgorithmus. Wenn das Auto der Marke 1 ist und im Jahr 2012 gebaut wurde, betr\u00e4gt der Bremsweg 10 Meter; andernfalls, wenn das Auto der Marke 2 ist und im Jahr 2011 hergestellt wurde, und so weiter.<\/p>\n

<\/p>\n

Beispiel f\u00fcr die Funktionsweise eines neuronalen Netzwerks. Wir sammeln Daten \u00fcber Bremswege von Autos der letzten 20 Jahre. Nach Marke und Baujahr erstellen wir eine Tabelle mit dem Format \u201eMarke-Baujahr-Bremsweg\u201c. Diese Tabelle wird dem neuronalen Netzwerk \u00fcbergeben, und wir beginnen mit dem Training. Das Training erfolgt folgenderma\u00dfen: Wir f\u00fcttern das neuronale Netzwerk mit Daten, jedoch ohne den Bremsweg. Das Netzwerk versucht vorherzusagen, wie der Bremsweg aussehen wird, basierend auf der hochgeladenen Tabelle. Es macht eine Vorhersage und stellt dem Benutzer die Frage: \u201eLiege ich richtig?\u201c Vor der Frage wird eine vierte Spalte erstellt \u2013 die Sch\u00e4tzspalte. Wenn es richtig liegt, tr\u00e4gt es eine 1 in die vierte Spalte ein, bei einem Fehler eine 0. Das neuronale Netzwerk geht zum n\u00e4chsten Ereignis (auch wenn es falsch lag). So lernt das Netzwerk, und wenn das Training abgeschlossen ist (ein gewisses Konvergenzkriterium erreicht wurde), liefern wir die Daten zu dem Fahrzeug, das uns interessiert, und erhalten schlie\u00dflich die Antwort.<\/p>\n

<\/p>\n

Um die Frage nach dem Konvergenzkriterium zu kl\u00e4ren, m\u00f6chte ich erl\u00e4utern, dass es sich um eine mathematisch abgeleitete Formel f\u00fcr Statistik handelt. Ein anschauliches Beispiel f\u00fcr zwei unterschiedliche Konvergenzformeln. Die rote Linie steht f\u00fcr die bin\u00e4re Konvergenz, die blaue Linie f\u00fcr die normale Konvergenz.<\/p>\n

<\/p>\n

\"Analyse
\nBinomialverteilung und Normalverteilung<\/em><\/p>\n

<\/p>\n

Um es besser zu verstehen, stellen Sie die Frage: \u201eWie hoch ist die Wahrscheinlichkeit, einen Dinosaurier zu treffen?\u201c Hier gibt es zwei Antwortm\u00f6glichkeiten. M\u00f6glichkeit 1 \u2013 sehr gering (blaue Grafik). M\u00f6glichkeit 2 \u2013 entweder ich treffe ihn oder nicht (rote Grafik).<\/p>\n

<\/p>\n

Nat\u00fcrlich ist ein Computer kein Mensch und er lernt anders. Es gibt zwei Arten des Lernens f\u00fcr den Computer \u2013 Lernen nach Erfahrungen<\/strong> und deduktives Lernen<\/strong>.<\/p>\n

<\/p>\n

Lernen nach Erfahrungen ist eine Lernmethode basierend auf mathematischen Gesetzm\u00e4\u00dfigkeiten. Mathematiker sammeln Statistiken, ziehen Schlussfolgerungen und laden das Ergebnis in das neuronale Netzwerk \u2013 die Formel zur Berechnung.<\/p>\n

<\/p>\n

Beim deduktiven Lernen erfolgt das Lernen vollst\u00e4ndig im neuronalen Netzwerk (von der Datensammlung bis zur Analyse). Hier wird eine Tabelle ohne Formel, aber mit Statistiken erstellt.<\/p>\n

<\/p>\n

Ein umfassender \u00dcberblick \u00fcber die Technologie w\u00fcrde noch einige Dutzend Artikel in Anspruch nehmen. F\u00fcr unser allgemeines Verst\u00e4ndnis gen\u00fcgt dies jedoch vorerst.<\/p>\n

<\/p>\n

Neuroplastizit\u00e4t<\/h3>\n

<\/p>\n

In der Biologie gibt es das Konzept der Neuroplastizit\u00e4t. Neuroplastizit\u00e4t ist die F\u00e4higkeit von Neuronen (Hirnzellen), schrittweise auf unterschiedliche Situationen zu reagieren. Zum Beispiel hat eine Person, die das Augenlicht verloren hat, ein besseres Geh\u00f6r, empfindet intensiver Ger\u00fcche und sp\u00fcrt Objekte besser. Dies geschieht, weil der Teil des Gehirns, der f\u00fcr das Sehen zust\u00e4ndig ist, seine Funktionen auf andere Bereiche umschichtet.<\/p>\n

<\/p>\n

Ein eindrucksvolles Beispiel f\u00fcr Neuroplastizit\u00e4t im Alltag ist das BrainPort.<\/p>\n

<\/p>\n

Im Jahr 2009 k\u00fcndigte die Universit\u00e4t Wisconsin in Madison die Einf\u00fchrung eines neuen Ger\u00e4ts an, das die Ideen eines \"sprachlichen Displays\" weiterentwickelt \u2013 es erhielt den Namen BrainPort. BrainPort funktioniert nach folgendem Prinzip: Das Videosignal wird von einer Kamera an einen Prozessor \u00fcbertragen, der Zoom, Helligkeit und andere Bildparameter steuert. Zudem wandelt er digitale Signale in elektrische Impulse um und \u00fcbernimmt damit praktisch die Funktionen der Netzhaut.<\/p>\n

<\/p>\n

\"Analyse
\nBrainPort-Lutscher mit Brille und Kamera<\/em><\/p>\n

<\/p>\n

\"Analyse
\nBrainPort in Aktion<\/em><\/p>\n

\n

\r\n \"Video\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Das Gleiche gilt f\u00fcr Computer. Wenn ein neuronales Netzwerk eine Ver\u00e4nderung im Prozess wahrnimmt, passt es sich entsprechend an. Das ist der entscheidende Vorteil neuronaler Netzwerke im Vergleich zu anderen Algorithmen \u2013 ihre Autonomie. Eine Art von Menschlichkeit.<\/p>\n

<\/p>\n

Verschl\u00fcsselte Verkehrsanalytik<\/h3>\n

<\/p>\n

Verschl\u00fcsselte Verkehrsanalytik ist Teil des Stealthwatch-Systems. Stealthwatch ist eine Entwicklung von Cisco im Bereich Sicherheitsmonitoring und -analytik, die Unternehmensdaten aus der bestehenden Netzwerkinfrastruktur f\u00fcr die Telemetrie nutzt.<\/p>\n

<\/p>\n

Die Grundlage von Stealthwatch Enterprise bilden die Werkzeuge Flow Rate License, Flow Collector, Management Console und Flow Sensor.<\/p>\n

<\/p>\n

\"Analyse
\nBenutzeroberfl\u00e4che von Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Das Problem der Verschl\u00fcsselung ist akut geworden, da der Anteil an verschl\u00fcsseltem Traffic stark angestiegen ist. Fr\u00fcher wurde haupts\u00e4chlich Code verschl\u00fcsselt, jetzt wird jedoch der gesamte Traffic verschl\u00fcsselt, was die Trennung von 'sauberen' Daten und Viren erheblich erschwert. Ein eindrucksvolles Beispiel ist WannaCry, das Tor nutzte, um seine Pr\u00e4senz im Netz zu verbergen.<\/p>\n

<\/p>\n

\"Analyse
\nVisualisierung des Anstiegs der Verschl\u00fcsselung im Traffic-Netzwerk<\/em><\/p>\n

<\/p>\n

\"Analyse
\nVerschl\u00fcsselung in der Makro\u00f6konomie<\/em><\/p>\n

<\/p>\n

Das Encrypted Traffic Analytics (ETA) System ist unerl\u00e4sslich f\u00fcr die Verarbeitung von verschl\u00fcsseltem Datenverkehr, ohne diesen zu entschl\u00fcsseln. Angreifer sind clever und setzen kryptographisch sichere Verschl\u00fcsselungsalgorithmen ein, deren \u00dcberwindung nicht nur ein Problem darstellt, sondern auch enorme Kosten f\u00fcr Unternehmen verursacht.<\/p>\n

<\/p>\n

Das System funktioniert wie folgt: In das Unternehmen gelangt ein Datenverkehr. Dieser wird in TLS (Transport Layer Security \u2014 Protokoll f\u00fcr die Sicherheit auf der Transportebene) verarbeitet. Angenommen, der Datenverkehr ist verschl\u00fcsselt. Wir versuchen, mehrere Fragen zu beantworten, welcher Typ von Verbindung hier hergestellt wurde.<\/p>\n

<\/p>\n

\"Analyse
\nFunktionsweise des Encrypted Traffic Analytics (ETA) Systems<\/em><\/p>\n

<\/p>\n

Um diese Fragen zu beantworten, nutzen wir maschinelles Lernen in diesem System. Es werden Untersuchungen von Cisco herangezogen und auf dieser Grundlage wird eine Tabelle mit zwei Ergebnissen erstellt \u2013 sch\u00e4dlicher und \u201eguter\u201c Datenverkehr. Nat\u00fcrlich wissen wir nicht genau, welcher Datenverkehr aktuell ins System gelangt ist, aber wir k\u00f6nnen die Historie des Datenverkehrs sowohl innerhalb als auch au\u00dferhalb des Unternehmens anhand globaler Daten nachvollziehen. Am Ende dieser Phase erhalten wir eine umfangreiche Tabelle mit Daten.<\/p>\n

<\/p>\n

Die Ergebnisse der Untersuchung zeigen charakteristische Merkmale \u2013 bestimmte Regeln, die mathematisch formuliert werden k\u00f6nnen. Diese Regeln k\u00f6nnen stark variieren, abh\u00e4ngig von verschiedenen Kriterien \u2013 der Gr\u00f6\u00dfe der \u00fcbertragene Dateien, der Art der Verbindung, dem Land, aus dem der Datenverkehr stammt, und so weiter. Infolge dieser Arbeit hat sich eine riesige Tabelle in eine Sammlung von Formeln verwandelt. Es sind weniger Formeln geworden, doch das ist nicht ausreichend f\u00fcr eine angenehme Nutzung.<\/p>\n

<\/p>\n

Anschlie\u00dfend wird eine Technologie des maschinellen Lernens angewendet \u2013 die Konvergenz der Formel, und aus diesen Ergebnissen erhalten wir einen Trigger \u2013 einen Schalter, bei dem wir beim Ausgeben von Daten einen Schalter (Flag) entweder aktiviert oder deaktiviert haben.<\/p>\n

<\/p>\n

Die resultierende Phase besteht darin, einen Satz von Triggern zu erhalten, die 99% des Datenverkehrs abdecken.<\/p>\n

<\/p>\n

\"Analyse
\nPhasen der Verkehrs\u00fcberpr\u00fcfung im ETA<\/em><\/p>\n

<\/p>\n

So wird ein weiteres Problem gel\u00f6st \u2013 interne Angriffe. Es sind keine Personen mehr erforderlich, die den Datenverkehr manuell filtern (damit sch\u00fcre ich mein eigenes Unheil). Erstens sind teure Systemadministratoren nicht mehr n\u00f6tig (ich sch\u00fcre weiterhin mein eigenes Ungl\u00fcck). Zweitens gibt es keine Gefahr mehr von internen Hacks (zumindest teilweise).<\/p>\n

<\/p>\n

\"Analyse
\n\u00dcberholtes Konzept des Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Lassen Sie uns nun untersuchen, auf welcher Basis das System beruht.<\/p>\n

<\/p>\n

Das System basiert auf 4 Kommunikationsprotokollen: TCP\/IP \u2013 das Protokoll f\u00fcr Daten\u00fcbertragung im Internet, DNS \u2013 der Domain Name Server, TLS \u2013 das Protokoll f\u00fcr Transportsicherheit, SPLT (SpaceWire Physical Layer Tester) \u2013 der Tester f\u00fcr die physische Kommunikationsebene.<\/p>\n

<\/p>\n

\"Analyse
\nProtokolle, die mit ETA arbeiten<\/em><\/p>\n

<\/p>\n

Der Vergleich erfolgt durch den Abgleich von Daten. \u00dcber die TCP\/IP-Protokolle wird der Ruf von Websites \u00fcberpr\u00fcft (Besuchsverlauf, Zweck der Website usw.). Dank des DNS-Protokolls k\u00f6nnen wir \"schlechte\" Website-Adressen herausfiltern. Das TLS-Protokoll arbeitet mit den \"Fingerprint\"-Daten der Website und pr\u00fcft sie anhand einer Datenbank von Computer Emergency Response Teams (CERT). Der letzte Schritt der Verbindungs\u00fcberpr\u00fcfung erfolgt auf physischer Ebene. Die Details dieser Stufe werden nicht spezifiziert; das Ziel ist jedoch, die Sinus- und Kosinuskurven der Daten\u00fcbertragung mithilfe von Oszilloskop-Installationen zu \u00fcberpr\u00fcfen. Das bedeutet, dass wir anhand der Struktur der Anfrage auf physikalischer Ebene das Ziel der Verbindung bestimmen.<\/p>\n

<\/p>\n

Durch die Funktionsweise des Systems k\u00f6nnen wir Daten aus verschl\u00fcsseltem Datenverkehr extrahieren. Durch die Analyse von Paketen sind wir in der Lage, die maximale Menge an Informationen aus den unverschl\u00fcsselten Feldern innerhalb des Pakets zu lesen. Durch die Paketinspektion auf physischer Ebene erfahren wir die Merkmale des Pakets (teilweise oder vollst\u00e4ndig). Zudem sollte die Reputation der Webseiten nicht au\u00dfer Acht gelassen werden. Wenn eine Anfrage von einer .onion-Quelle stammt, ist Vorsicht geboten. Um die Arbeit mit solchen Daten zu vereinfachen, wurde eine Risikokarte erstellt.<\/p>\n

<\/p>\n

\"Analyse
\nErgebnis der ETA-Arbeit<\/em><\/p>\n

<\/p>\n

Und alles scheint in Ordnung zu sein, aber lass uns \u00fcber die Bereitstellung des Netzwerks sprechen.<\/p>\n

<\/p>\n

Physische Implementierung der ETA<\/h3>\n

<\/p>\n

Hier stellt sich eine Vielzahl von Nuancen und Feinheiten. Erstens, bei der Erstellung eines solchen
\nNetzwerks mit hochrangiger Software ist eine Datensammlung notwendig. Die Daten manuell zu sammeln w\u00e4re v\u00f6llig
\nunpraktisch, w\u00e4hrend die Implementierung eines Reaktionssystems schon interessanter ist. Zweitens, es m\u00fcssen viele Daten vorhanden sein, was bedeutet, dass die installierten Netzwerksensoren nicht nur autonom arbeiten, sondern auch im fein eingestellten Modus funktionieren m\u00fcssen, was eine Reihe von Herausforderungen mit sich bringt.
\nEs sollte viel zu tun sein, was bedeutet, dass die installierten Netzsensoren weder nur autark noch im feinjustierten Modus arbeiten m\u00fcssen, was eine Reihe von Herausforderungen mit sich bringt.
\nDiese Anforderungen bringen eine Reihe von Komplexit\u00e4ten mit sich.<\/p>\n

<\/p>\n

\"Analyse
\nSensoren und das Stealthwatch-System<\/em><\/p>\n

<\/p>\n

Einen Sensor zu installieren ist das eine, ihn jedoch richtig zu konfigurieren, stellt eine ganz andere Herausforderung dar. F\u00fcr die Konfiguration von Sensoren gibt es ein System, das auf folgender Topologie basiert: ISR = Cisco Integrated Services Router; ASR = Cisco Aggregation Services Router; CSR = Cisco Cloud Services Router; WLC = Cisco Wireless LAN Controller; IE = Cisco Industrial Ethernet; ASA = Cisco Adaptive Security Appliance; FTD = Cisco Firepower Threat Defense; WSA = Web Security Appliance; ISE = Identity Services Engine.<\/p>\n

<\/p>\n

\"Analyse
\nUmfassendes Monitoring unter Ber\u00fccksichtigung aller Telemetriedaten.<\/em><\/p>\n

<\/p>\n

Netzwerkadministratoren bekommen beim Auftreten zahlreicher Begriffe wie \u201eCisco\u201c in dem vorherigen Absatz beinahe Herzrhythmusst\u00f6rungen. Der Preis f\u00fcr dieses Wunderwerk der Technik ist nicht ohne, aber darum geht es heute nicht...<\/p>\n

<\/p>\n

Das Verhalten von HACKERN wird folgenderma\u00dfen modelliert: Stealthwatch \u00fcberwacht die Aktivit\u00e4ten jedes Ger\u00e4ts im Netzwerk genau und kann ein Muster f\u00fcr normales Verhalten erstellen. Dar\u00fcber hinaus bietet diese L\u00f6sung ein tiefes Verst\u00e4ndnis f\u00fcr bekanntes unangemessenes Verhalten. Im Rahmen dieser L\u00f6sung werden etwa 100 verschiedene Analysemethoden oder Heuristiken verwendet, die verschiedene Arten von Verkehrsverhalten abdecken, wie z. B. Scannen, \u00dcbertragung von Alarmmeldungen von Knoten, das Eindringen durch Passwort-Gewinnspiel, vermuteter Datendiebstahl, vermuteter Datenleck usw. Die aufgef\u00fchrten Sicherheitsereignisse fallen unter die Kategorie einer hochgradigen logischen Alarmierung. Einige Sicherheitsereignisse k\u00f6nnen auch alleine Alarm ausl\u00f6sen. So ist das System in der Lage, zahlreiche isolierte anomale Vorf\u00e4lle zu korrelieren und zusammenzufassen, um den m\u00f6glichen Angriffstyp zu bestimmen und ihn einem bestimmten Ger\u00e4t und Benutzer zuzuordnen (siehe Abbildung 2). Der Vorfall kann anschlie\u00dfend in der Dynamik und im Zusammenhang mit den zugeh\u00f6rigen Telemetriedaten untersucht werden. Dies stellt kontextuelle Informationen in ihrer besten Form dar. \u00c4rzte, die einen Patienten untersuchen, um zu verstehen, was passiert ist, betrachten die Symptome nicht isoliert. Sie untersuchen das Gesamtbild, um eine Diagnose zu stellen. \u00c4hnlich h\u00e4lt Stealthwatch jede anomale Aktivit\u00e4t im Netzwerk fest und analysiert sie im Kontext, um kontextbezogene Alarme auszusenden und Sicherheitsexperten bei der Priorisierung von Risiken zu unterst\u00fctzen.<\/p>\n

<\/p>\n

\"Analyse
\nAnomalieerkennung durch Verhaltensmodelling<\/em><\/p>\n

<\/p>\n

So sieht die physische Netzwerkbereitstellung aus:<\/p>\n

<\/p>\n

\"Analyse
\nVereinfachte L\u00f6sung f\u00fcr das Filialnetzwerk<\/em><\/p>\n

<\/p>\n

\"Analyse
\nL\u00f6sung f\u00fcr das Filialnetzwerk<\/em><\/p>\n

<\/p>\n

Das Netzwerk ist eingerichtet, aber es gibt noch offene Fragen zur neuronalen Netztechnologie. Wir haben ein Datentransfernetzwerk organisiert, Sensoren an den Zugangsstellen installiert und ein Informationssammlungssystem gestartet, jedoch war die neuronale Technologie bislang nicht aktiv beteiligt.<\/p>\n

<\/p>\n

Mehrschichtige neuronale Netzwerkarchitektur<\/h3>\n

<\/p>\n

Das System analysiert das Verhalten von Benutzern und Ger\u00e4ten, um b\u00f6sartige Infektionen, Kommunikation mit Kommando-Servern, Datenlecks sowie potenziell unerw\u00fcnschte Anwendungen, die in der Infrastruktur des Unternehmens aktiv sind, zu identifizieren. Es gibt mehrere Datenverarbeitungsebenen, auf denen eine Kombination aus k\u00fcnstlicher Intelligenz, maschinellem Lernen und mathematischer Statistik der Netzwerkarchitektur hilft, sich selbst an die normale Aktivit\u00e4t zu gew\u00f6hnen, um b\u00f6sartige Aktivit\u00e4ten zu erkennen.<\/p>\n

<\/p>\n

Der Sicherheitsanalyse-Workflow von Stealthwatch, der Telemetriedaten aus allen Bereichen des erweiterten Netzwerks, einschlie\u00dflich verschl\u00fcsseltem Datenverkehr, sammelt, ist eine einzigartigen Funktion. Er entwickelt schrittweise das Verst\u00e4ndnis daf\u00fcr, was als 'anomales' Verhalten gilt, klassifiziert dann die spezifischen Elemente der 'bedrohlichen Aktivit\u00e4t' und trifft schlie\u00dflich eine endg\u00fcltige Entscheidung dar\u00fcber, ob das Ger\u00e4t oder der Benutzer tats\u00e4chlich kompromittiert wurde. Die F\u00e4higkeit, kleine Teile zusammenzuf\u00fchren, die gemeinsam als Beweis f\u00fcr die endg\u00fcltige Entscheidung \u00fcber die Kompromittierung eines Objekts dienen, wird durch eine \u00e4u\u00dferst sorgf\u00e4ltige Analyse und Korrelation erm\u00f6glicht.<\/p>\n

<\/p>\n

Diese F\u00e4higkeit ist von gro\u00dfer Bedeutung, da ein standardm\u00e4\u00dfiges Unternehmen t\u00e4glich eine enorme Anzahl von Alarmsignalen erhalten kann, sodass es unm\u00f6glich ist, jede davon zu untersuchen \u2013 die Ressourcen f\u00fcr Sicherheitsexperten sind begrenzt. Das Modul des maschinellen Lernens verarbeitet eine riesige Menge an Informationen nahezu in Echtzeit, um kritische Vorf\u00e4lle mit hoher Zuversicht zu identifizieren und kann auch klare Handlungsempfehlungen zur schnellen Behebung geben.<\/p>\n

<\/p>\n

Lassen Sie uns die zahlreichen Methoden des maschinellen Lernens, die in Stealthwatch verwendet werden, im Detail betrachten. Wenn ein Vorfall an das Modul f\u00fcr maschinelles Lernen von Stealthwatch \u00fcbermittelt wird, durchl\u00e4uft er einen Sicherheitsanalyse-Trichter, in dem eine Kombination von \u00fcberwachten und un\u00fcberwachten Lernmethoden verwendet wird.<\/p>\n

<\/p>\n

\"Analyse
\nF\u00e4higkeiten des mehrschichtigen maschinellen Lernens<\/em><\/p>\n

<\/p>\n

1. Ebene. Anomalieerkennung und Vertrauensmodellierung<\/h3>\n

<\/p>\n

Auf dieser Stufe werden 99 % des Traffics durch statistische Anomaliedetektoren herausgefiltert. Die genannten Sensoren bilden komplexe Modelle daf\u00fcr, was als normal und was als anormal gilt. Dabei ist nicht alles Anormale auch sch\u00e4dlich. Vieles, was in Ihrem Netzwerk passiert, ist nicht unbedingt eine Bedrohung \u2013 es ist einfach nur seltsam. Es ist wichtig, solche Prozesse unabh\u00e4ngig vom bedrohlichen Verhalten zu klassifizieren. Aus diesem Grund werden die Ergebnisse derer Detektoren weiter analysiert, um seltsames Verhalten zu identifizieren, das erkl\u00e4rt werden kann und dem vertraut werden kann. Letztendlich gelangt nur ein kleiner Teil der wichtigsten Datenstr\u00f6me und Anfragen auf die Stufen 2 und 3. Ohne den Einsatz solcher Methoden des maschinellen Lernens w\u00e4ren die Betriebskosten zur Trennung von Signal und Rauschen zu hoch.<\/p>\n

<\/p>\n

Anomalieerkennung.<\/strong> In der ersten Phase der Anomalieerkennung kommen statistische Methoden des maschinellen Lernens zum Einsatz, um normalen statistischen Verkehr von anormalem zu trennen. \u00dcber 70 verschiedene Detektoren analysieren die Telemetriedaten, die Stealthwatch \u00fcber den Datenverkehr an der Perimeter Ihrer Netzwerke sammelt, wobei interner Datenverkehr des Domain Name Systems (DNS) und Proxy-Daten, sofern vorhanden, getrennt werden. Jede Anfrage wird von mehr als 70 Detektoren verarbeitet, wobei jeder Detektor seinen eigenen statistischen Algorithmus verwendet, um eine Bewertung der identifizierten Anomalien zu erstellen. Diese Bewertungen werden zusammengef\u00fchrt, und durch Anwendung mehrerer statistischer Methoden ergibt sich eine einheitliche Bewertung f\u00fcr jede einzelne Anfrage. Diese aggregierte Bewertung wird dann verwendet, um normalen von anormalem Datenverkehr zu unterscheiden.<\/p>\n

<\/p>\n

Vertrauensmodellierung.<\/strong> \u00c4hnliche Anfragen werden gruppiert, und die kumulierte Bewertung von Anomalien f\u00fcr diese Gruppen wird als langfristiger Durchschnittswert bestimmt. Im Laufe der Zeit werden mehr Anfragen analysiert, um den langfristigen Durchschnitt zu ermitteln, was dazu beitr\u00e4gt, falsch-positive und falsch-negative Ausl\u00f6sungen zu reduzieren. Die Ergebnisse der Vertrauensmodellierung werden verwendet, um eine Teilmenge des Verkehrs auszuw\u00e4hlen, deren Anomaliebewertung einen dynamisch festgelegten Schwellenwert \u00fcbersteigt, um sie in die n\u00e4chste Verarbeitungsstufe zu verschieben.<\/p>\n

<\/p>\n

Stufe 2. Ereignisklassifikation und Objektmodellierung<\/h3>\n

<\/p>\n

Auf dieser Ebene erfolgt die Klassifikation der Ergebnisse aus den vorherigen Schritten, die spezifischen b\u00f6sartigen Ereignissen zugeordnet werden. Die Klassifikation der Ereignisse wird anhand der von den Machine Learning-Klassifikatoren zugewiesenen Werte durchgef\u00fchrt, um eine konstante Genauigkeit von \u00fcber 90 % zu gew\u00e4hrleisten. Dazu geh\u00f6ren:<\/p>\n

<\/p>\n