{"id":90228,"date":"2020-07-30T01:42:34","date_gmt":"2020-07-29T23:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3"},"modified":"2020-07-30T01:42:34","modified_gmt":"2020-07-29T23:42:34","slug":"stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","title":{"rendered":"StealthWatch: Analyse und Untersuchung von Vorf\u00e4llen. Teil 3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"StealthWatch:
\n
\nCisco StealthWatch<\/a><\/noindex> ist eine analytische L\u00f6sung im Bereich der IT-Sicherheit, die umfassende Bedrohungs\u00fcberwachung in einem verteilten Netzwerk erm\u00f6glicht. Die Funktionsweise von StealthWatch basiert auf der Sammlung von NetFlow und IPFIX von Routern, Switches und anderen Netzwerkger\u00e4ten. Dadurch wird das Netzwerk zu einem empfindlichen Sensor und erlaubt dem Administrator, Bereiche zu \u00fcberwachen, die traditionelle Netzwerkschutzmethoden wie Next Generation Firewalls nicht erreichen k\u00f6nnen.<\/p>\n

In fr\u00fcheren Artikeln habe ich bereits \u00fcber StealthWatch geschrieben: erste Einf\u00fchrung und M\u00f6glichkeiten<\/a><\/noindex>, sowie Bereitstellung und Konfiguration<\/a><\/noindex>. Jetzt schlage ich vor, weiterzumachen und zu besprechen, wie mit Alarmen umzugehen ist und wie man Sicherheitsvorf\u00e4lle untersuchen kann, die von der L\u00f6sung generiert werden. Es werden 6 Beispiele vorgestellt, die hoffentlich einen guten Einblick in die N\u00fctzlichkeit des Produkts geben.
\n<\/a><\/noindex>
\nZun\u00e4chst sollte erw\u00e4hnt werden, dass StealthWatch eine gewisse Verteilung von Ausl\u00f6sungen durch Algorithmen und Feeds aufweist. Die ersten sind verschiedene Arten von Alarmen (Benachrichtigungen), bei deren Ausl\u00f6sung verd\u00e4chtige Aktivit\u00e4ten im Netzwerk erkannt werden k\u00f6nnen. Die zweiten sind Sicherheitsvorf\u00e4lle. In diesem Artikel werden 4 Beispiele f\u00fcr algorithmische Ausl\u00f6sungen und 2 Beispiele f\u00fcr Feeds behandelt.<\/p>\n

1. Analyse der umfangreichsten Interaktionen im Netzwerk<\/h2>\n

\nDer erste Schritt zur Konfiguration von StealthWatch besteht darin, Hosts und Netzwerke in Gruppen zu definieren. Im Web-Interface finden Sie den Tab Configure > Host Group Management<\/i> , um Netzwerke, Hosts und Server in die entsprechenden Gruppen zuzuordnen. Es k\u00f6nnen auch eigene Gruppen erstellt werden. \u00dcbrigens ist die Analyse der Interaktionen zwischen Hosts in Cisco StealthWatch recht benutzerfreundlich, da Sie nicht nur Suchfilter f\u00fcr die Str\u00f6me speichern, sondern auch die Ergebnisse selbst.<\/p>\n

Zun\u00e4chst sollten Sie im Web-Interface den Tab Analyze > Flow Search<\/i>aufrufen. Dann m\u00fcssen die folgenden Parameter eingestellt werden:<\/p>\n