{"id":90228,"date":"2020-07-30T01:42:34","date_gmt":"2020-07-29T23:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3"},"modified":"2020-07-30T01:42:34","modified_gmt":"2020-07-29T23:42:34","slug":"stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","title":{"rendered":"StealthWatch: Analyse und Untersuchung von Vorf\u00e4llen. Teil 3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"StealthWatch:
\n
\nCisco StealthWatch<\/a><\/noindex> \u2014 ist eine analytische L\u00f6sung im Bereich der IT-Sicherheit, die umfassendes Bedrohungsmonitoring in einem verteilten Netzwerk bietet. Die Funktionsweise von StealthWatch basiert auf der Sammlung von NetFlow und IPFIX von Routern, Switches und anderen Netzwerkger\u00e4ten. Dadurch wird das Netzwerk zu einem sensiblen Sensor und erm\u00f6glicht es dem Administrator, dorthin zu schauen, wo traditionelle Netzwerkschutzmethoden, wie z.B. Next Generation Firewalls, nicht gelangen.<\/p>\n

In fr\u00fcheren Artikeln habe ich bereits \u00fcber StealthWatch geschrieben: ein erstes Vorstellen und die M\u00f6glichkeiten<\/a><\/noindex>, sowie Bereitstellung und Konfiguration<\/a><\/noindex>. Jetzt schlage ich vor, weiterzumachen und zu besprechen, wie man mit Alarmen umgeht und Sicherheitsvorf\u00e4lle untersucht, die von der L\u00f6sung generiert werden. Es werden 6 Beispiele gegeben, die, wie ich hoffe, einen guten Eindruck von der N\u00fctzlichkeit des Produkts geben.
\n<\/a><\/noindex>
\nZun\u00e4chst sollte gesagt werden, dass in StealthWatch eine gewisse Verteilung der Ausl\u00f6sungen auf Algorithmen und Feeds vorhanden ist. Die Ersten sind verschiedene Arten von Alarmen (Benachrichtigungen), bei deren Ausl\u00f6sen verd\u00e4chtige Dinge im Netzwerk erkannt werden k\u00f6nnen. Letztere sind Sicherheitsvorf\u00e4lle. In diesem Artikel werden 4 Beispiele f\u00fcr die Ausl\u00f6sungen von Algorithmen und 2 Beispiele f\u00fcr Feeds behandelt.<\/p>\n

1. Analyse der umfangreichsten Interaktionen innerhalb des Netzwerks<\/h2>\n

\nDer erste Schritt zur Konfiguration von StealthWatch besteht darin, Hosts und Netzwerke in Gruppen zu definieren. Im Web-Interface findet man den Tab Configure > Host Group Management<\/i> , wo Netzwerke, Hosts und Server in die entsprechenden Gruppen eingeteilt werden sollten. Gruppen k\u00f6nnen auch selbst erstellt werden. \u00dcbrigens ist die Analyse der Interaktionen zwischen Hosts in Cisco StealthWatch sehr praktisch, da man nicht nur Suchfilter f\u00fcr Str\u00f6me speichern, sondern auch die Ergebnisse selbst sichern kann.<\/p>\n

Um zu beginnen, sollte im Web-Interface der Tab Analyze > Flow Search<\/i>aufgerufen werden. Anschlie\u00dfend sollten die folgenden Parameter festgelegt werden:<\/p>\n