Liiklust analüüsiv süsteem ilma dekrüpteerimiseta. Seda meetodit nimetatakse lihtsalt - "masinõppeks". On selgunud, et kui edastada spetsiaalsele klassifikaatorile väga suur hulk erinevat liiklust, siis suudab süsteem väga suure tõenäosusega tuvastada pahatahtlike koodide tegevust krüpteeritud liikluses.
Võrguhädad on muutunud ja muutunud "kuulavamateks". Viimastel aegadel on muutunud rünnaku ja kaitse kontseptsioon. Võrgus toimuvate sündmuste arv on mitu korda kasvanud. Rünnakud on muutunud nõudlikumaks ning häkkeritel on nüüd laiem rünnakuulatus.
Cisco statistika kohaselt kolmekordistavad kurjategijad viimase aasta jooksul pahavara arvu, mida nad oma tegevuses kasutavad, täpsemalt selle varjamiseks - krüpteerimiseks. Teooriast on teada, et "õige" krüpteerimisalgoritmi ei saa murda. Selleks, et mõista, mis peitub krüpteeritud liikluse sees, tuleb kas see dekrüpteerida, teadmise võti, või proovida seda dekrüpteerida erinevate näppude abil, või rünnata otseselt, või kasutada mõningaid haavatavusi krüptograafilistes protokollides.
Kaasaegsete võrguhäälte pilt
Masinõpe
Tunne tehnoloogiat näost näkku! Enne kui räägime, kuidas töötab masinõppe põhine dekrüpteerimistehnoloogia, tuleb analüüsida, kuidas töötab närvivoogude tehnoloogia.
Masinõpe (Machine Learning) on ulatuslik kunstliku intelligentsi haru, mis uurib algoritmide loomise meetodeid, mis suudavad õppida. See teadus on suunatud arvuti „õppimise” matemaatiliste mudelite loomisele. Õppimise eesmärk on midagi ennustada. Inimlikus mõistes nimetame seda protsessi sõnaks „tarkus”. Tarkus ilmneb inimestes, kes on elanud piisavalt kaua (2-aastane laps ei saa olla tark). Kui pöördume vanemate kaaslaste poole nõu küsima, anname neile mingit teavet sündmuse kohta (sisend) ja palume abi. Nemad meenutavad omakorda kõiki olukordi elust, mis on seotud teie probleemiga (teadmiste baas) ja nende teadmiste (andmete) põhjal annavad meile omamoodi ennustuse (nõu). Seda tüüpi nõuandeid on hakatud nimetama ennustusteks, kuna nõu andjal ei ole kindlat teadmist selle kohta, mis juhtub, vaid ta ainult eeldab. Elukogemus näitab, et inimene võib olla õigus, aga ka eksida.
Ärge võrrelge närvivõrke haru-tingimuslikkuse algoritmiga (if-else). Need on erinevad asjad ja neil on olulised erinevused. Haru-tingimuslikkuse algoritm mõistab selgelt, mida teha. Näitan näidete kaudu.
Ülesanne. Määrata auto pidurdusteekond selle marka ja tootmisaasta põhjal.
Haru-tingimuslikkuse algoritmi näide. Kui auto on marki 1 ja toodetud 2012. aastal – on selle pidurdusteekond 10 meetrit, muidu, kui auto on marki 2 ja toodetud 2011. aastal ja nii edasi.
Näide tehisnärvivõrgu tööst. Kogume andmeid sõidukite pidurdusteede kohta viimase 20 aasta jooksul. Loe mark ja aasta ning koostame tabeli kujul „mark-aasta-vidurdusteekond“. Jagame selle tabeli tehisnärvivõrgule ja alustame selle õpetamist. Koolitus toimub järgmiselt: edastame andmed tehisnärvivõrgule, kuid ilma pidurdusteeta. Tehisnärvivõrk üritab ennustada, milline on pidurdusteekond, tuginedes edastatud tabelile. See ennustab midagi ja esitab kasutajale küsimuse „Kas ma olen õige?”. Enne küsimust loob see neljanda veeru – ennustuste veeru. Kui see on õige, siis paneb see neljandasse veergu 1, kui vale – 0. Tehisnärvivõrk liigub järgmise sündmuse juurde (isegi kui see eksib). Nii õpib võrk ja kui koolitus on lõppenud (kui on saavutatud teatud konvergensi kriteerium), edastame andmed meid huvitava sõiduki kohta ja lõpuks saame vastuse.
Kuna konvergentsi kriteeriumi suhtes on küsimusi, selgitan, et see on matemaatiliselt tuletatud valem statistika jaoks. Selge näide kahe erineva konvergentsi valemi kohta. Punane – binaarne konvergents, sinine – normaalne konvergents.
Binaar- ja normaaljaotused
Et oleks selgem, esitage küsimus: «Mis on tõenäosus dinosaurusega kohtuda?». Siin on 2 vastusevarianti. Variant 1 – väga madal (sinine graafik). Variant 2 – kas kohtun või mitte (punane graafik).
Muidugi, arvuti ei ole inimene ja õpib teisiti. Erinevad 2 tüüpi õpetamisviisi on. ooduslik õpetamine ja deduktiivne õpetamine.
Ooduslik õpetamine on matemaatiliste seaduste järgi õpetamise meetod. Matemaatikud koguvad statistika tabeleid, teevad järeldusi ja laadivad närvivõrku tulemuse – valemi arvutamiseks.
Deduktiivne õpetamine – õpetamine toimub täielikult närvivõrgus (andmete kogumisest kuni analüüsini). Siin moodustatakse tabel ilma valemita, kuid statistika on olemas.
Tehnoloogia põhjalik ülevaade võtaks veel paar kümmet artiklit. Hetkel on meil sellest piisavalt üldise arusaamise jaoks.
Neuroplastilisus
Bioloogias on selline mõiste nagu neuroplastilisus. Neuroplastilisus on neuronite (aju rakkude) võime tegevust kaasaegsete olukordade järgi kohandada. Näiteks, inimene, kes on kaotanud nägemise, kuuleb paremini helisid, tunneb lõhnade nüansse ja tajub objekte. See juhtub, kuna osa ajust (neuronite osa), mis vastutab nägemise eest, suunab oma töö teisele funktsionaalsusele.
Edukaks näiteks neuroplastilisusest elus on BrainPort komm.
Aastal 2009 kuulutas Wisconsin-Madisoni ülikool välja uue seadme, mis arendab "keelekuva" ideid – see sai nimeks BrainPort. BrainPort töötab järgmise algoritmi kohaselt: videopilt edastatakse kaamerast protsessorisse, mis juhib suumimist, heledust ja muid pildi parameetreid. Samuti muundab see digitaalsed signaalid elektrilisteks impulsse, võttes praktikas üle retinaktiivsed funktsioonid.
BrainPort komm koos prillide ja kaameraga
BrainPort töös
Sama asi on arvutite puhul. Kui närvivõrk tunneb protsessi muutust, kohandub see selle järgi. See on närvivõrkude peamine eelis võrreldes teiste algoritmidega – autonoomsus. Omas mõttes inimlikkus.
Krüpteeritud liikluse analüüs
Krüpteeritud liikluse analüüs on osa Stealthwatchi süsteemist. Stealthwatch on Cisco ettevõtte arendatud lahendus turvalisuse jälgimiseks ja analüüsiks, mis kasutab olemasolevast võrgutaristust saadud ettevõtte telemeetriandmeid.
Stealthwatch Enterprise'i aluseks on Flow Rate License, Flow Collector, Management Console ja Flow Sensor tööriistad.
Cisco Stealthwatchi kasutajaliides
Krüptimise probleem on muutunud väga teravaks, kuna järjest rohkem liiklust on hakanud krüpteerima. Kui varem krüpteeriti peamiselt vaid koodi, siis nüüd krüpteeritakse kogu liiklus, muutes 'puhta' info eristamise viirustest tunduvalt keerulisemaks. Hea näide on WannaCry, mis kasutas oma kohaloleku varjamiseks Tor'i.
Visuaalne ülevaade krüpteeritud liikluse kasvu kohta võrgus
Krüptimine makroökonoomikas
Encrypted Traffic Analytics (ETA) süsteem on vajalik, et töötada krüpteeritud liiklusega ilma selle dekodeerimiseta. Kurjategijad on nutikad ja kasutavad krüptograafilisi šifreerimisalgoritme, mille purustamine on probleemiks, mis toob organisatsioonidele kaasa tohutud kulud.
Süsteem töötab järgmiselt. Ettevõttesse jõuab mingi liiklus. See suunatakse TLS-i (transport layer security — transporditase kaitse protokoll). Oletame, et liiklus on krüpteeritud. Me püüame vastata mitmele küsimusele selle kohta, milline ühendus on loodud.
Encrypted Traffic Analytics (ETA) süsteemi tööpõhimõte
Küsimustele vastamiseks kasutame selle süsteemi masinõpet. Kasutatakse Cisco ettevõtte teadusuuringute tulemusi, mille alusel koostatakse 2 tulemuse tabel — kahjulik ja "hea" liiklus. Loomulikult ei tea me täpselt, milline liiklus on süsteemi sattunud, kuid saame jälgida liikluse ajalugu nii ettevõttes seest kui ka väljaspool, toetudes globaalsetele andmetele. Selle etapi lõpuks saame tohutu andmetabeli.
Uuringu tulemusena tuvastatakse iseloomulikud tunnused – teatud reeglid, mis on kirja pandud matemaatilisel kujul. Need reeglid erinevad väga palju erinevate kriteeriumide järgi – edastatavate failide suuruse, ühendustüübi, riigi järgi, kust see liiklus pärineb jne. Tulemuseks muutus tohutu tabel hulgaks valemitest. Nende arv vähenes, kuid see ei piisa mugavaks tööks.
Edasi rakendatakse masinõppe tehnoloogiat – valemi konvergeerumist ja selle tulemuste põhjal saame trigeri – lüliti, kus andmete väljumisel saame väljalülitaja (lipu) tõstetud või madalasse asendisse.
Tulemustehnisetapil – triggerelementide komplekti saamine, mis katab 99% liiklusest.
Liikluskontrolli etapid ETA
Tulemuseks on lahendatud veel üks probleem – siserünnakud. Enam ei ole vaja keskelt inimesi, kes filtreerivad liiklust käsitsi (sel hetkel olen ma ise endale kahjuks kuhugi jalgade vahele jäänud). Esiteks ei ole enam vaja kulutada palju raha oskuslikule süsteemiadministraatorile (jätkan endale kahju tegemist). Teiseks puudub oht siserünnakuteks (vähemalt osaliselt).
Aegunud Man-in-the-Middle kontseptsioon
Nüüd, uurime, millele süsteem põhineb.
Süsteem töötab neljal suhtlusprotokollil: TCP/IP – andmete edastamise protokoll internetis, DNS – domeeninimede server, TLS – transporditasandi turvaprotokoll, SPLT (SpaceWire Physical Layer Tester) – füüsilise suhtlemise tasandi tester.
Protokollid, mis töötavad ETA-ga
Võrdlus toimub andmete vastandamise teel. TCP/IP protokollide abil kontrollitakse veebisaitide mainet (külastuse ajalugu, saidi loomise eesmärk jne), tänu DNS protokollile saame kõrvaldada "halvad" saidi aadressid. TLS protokoll töötab saidi "jälgede" (fingerprint) põhjal ja kontrollib saidi hädaolukordadele reageerimise arvutigrupi andmebaasi (cert). Ühenduse kontrollimise viimane etapp on füüsilise tasandi kontroll. Selle etapi töö üksikasju ei avaldata, kuid mõte seisneb järgmiselt: andmeülekande kõverate siinus- ja kosinuse kontrollimine osillograafilistes seadmetes, st. tänu füüsilise tasandi päringu struktuurile määrame ühenduse eesmärgi.
Süsteemi töö tulemusena suudame me kätte saada andmeid krüpteeritud liiklusest. Pakettide analüüsi kaudu saame lugeda maksimaalselt teavet paketi lahtiste väljade kaudu. Füüsilise tasandi pakettide inspekteerimise abil saame tuvastada paketi omadused (osaliselt või täielikult). Samuti ei tohi unustada veebilehtede mainet. Kui päring pärineb mõnest .onion allikast, pole mõistlik sellele usaldada. Selliste andmete töötlemise lihtsustamiseks on loodud riskikaart.
ETA töö tulemus
Ja kõik tundub hea, aga räägime võrgu juurutamisest.
ETA füüsiline rakendamine
Siin kerkivad esile mitmed nüansid ja peensused. Esiteks, sellise
võrgu loomisel koos kõrgetasemelise tarkvaraga on vajalik andmete kogumine. Andmete käsitsi kogumine on täiesti
keeruline, kuid reageerimissüsteemi elluviimine on juba huvitavam. Teiseks peavad andmed
olema ulatuslikud, mis tähendab, et paigaldatud võrgu sensorid peavad töötama
mitte ainult iseseisvalt, vaid ka täpselt reguleeritud režiimis, mis toob endaga kaasa mitmeid keerukusi.
Sensorid ja Stealthwatch süsteem
Anduri paigaldamine on üks asi, kuid selle seadistamine on täiesti erinev ülesanne. Sensoreid seadistamiseks on olemas kompleks, mis töötab järgmise topoloogia järgi – ISR = Cisco teenuste integreeritud ruuter (Cisco Integrated Services Router); ASR = Cisco teenuste agregatsiooni ruuter (Cisco Aggregation Services Router); CSR = Cisco pilveteenuste ruuter (Cisco Cloud Services Router); WLC = Cisco traadita kohalike võrkude kontroller (Cisco Wireless LAN Controller); IE = Cisco tööstuslik Ethernet-lüliti (Cisco Industrial Ethernet); ASA = Cisco kohandatud turbe seadme (Cisco Adaptive Security Appliance); FTD = Cisco Firepower Threat Defense ohu kaitse lahendus; WSA = veebiliikluse kaitse seade (Web Security Appliance); ISE = identiteedi teenuste mootor (Identity Services Engine)
Kompromissituline jälgimine, mis arvestab kõiki telemeetriandmeid
Võrguhalduritel hakkab eelnevas lõigus sõna «Cisco» arvust arütmia tekkima. Selle imelise lahenduse hind on märkimisväärne, kuid täna ei räägi me sellest...
Häkkerite käitumise modelleerimine toimub järgmiselt. Stealthwatch jälgib hoolikalt iga seadme aktiivsust võrgus ja suudab luua normaalse käitumise mustri. Lisaks sellele annab see lahendus sügava arusaama tuntud sobimatust käitumisest. Käesolevas lahenduses kasutatakse umbes 100 erinevat analüüsialgoritmi või heuristilist reeglit, mis käsitlevad erinevaid liikluskäitumise tüüpe, nagu skaneerimine, alarmiprogrammi võrkude kaudu edastamine, sisse logimine paroolide proovimisega, andmete oletatav haaramine, andmete oletatav leke ja nii edasi. Loetletud turvaseosed kuuluvad kõrge taseme loogiliste alarmide kategooriasse. Mõned turvaseosed võivad iseenesest põhjustada alarmide aktiveerimist. Seega on süsteem võimeline korreleerima arvukalt isoleeritud anomalisi ja koondama need kokku, et määrata võimaliku rünnaku tüübi ja siduda see konkreetse seadme ja kasutajaga (joonis 2). Edasi liikudes saab juhtumit uurida dünaamiliselt ja võtta arvesse seotud telemeetriandmeid. See moodustab kontekstuaalse teabe oma parimas vormis. Arstid, kes uurivad patsienti, et mõista, mis on juhtunud, ei vaata sümptomeid eraldi. Nad uurivad üldpilti, et teha diagnoos. Sarnaselt registreerib Stealthwatch iga anomaalse tegevuse võrgus ja uurib seda tervikuna, et saata häireteateid arvestades konteksti, aidates seeläbi turvaekspertidel riske prioriseerida.
Anomaaliate avastamine käitumismudeli abil
Füüsiline võrgu paigaldamine näeb välja selline:
Filiaalivõrgu paigaldamise variant (lihtsustatud)
Filiaalivõrgu paigaldamise variant
Võrk on paigaldatud, kuid jääb lahtiseks küsimus närvivõrgu osalemise kohta. Andmesidevõrk on loodud, sensorid on piiril paigaldatud ning teabe kogumise süsteem on käivitatud, kuid närvivõrk ei osalenud protsessis. Hetkel.
Mitmeastmeline närvivõrk
Süsteem analüüsib kasutaja ja seadme käitumist pahatahtlike nakkuste, suhtluste käsurea serveritega, andmelekkete ja potentsiaalselt soovimatute rakenduste tuvastamiseks, mis töötavad organisatsiooni infrastruktuuris. Andmete töötlemisel on mitu taset, kus tehisintellekti, masinõppe ja matemaatilise statistika meetodite kombinatsioon aitab võrgul oma normaalse tegevuse iseõppimisel, et see suudaks tuvastada pahatahtlikku tegevust.
Stealthwatchi ainulaadne omadus on võrgu turbeanalüüsi süsteem, mis kogub telemeetriaid kõikidest ulatuslikest võrguosadest, sealhulgas krüpteeritud liiklusest. See etappide kaupa arendab arusaama sellest, mis on 'anomoolne', seejärel klassifitseerib tegelikud eraldi 'ohvakt tegevuse' elemendid ja lõpuks teeb lõpliku otsuse, kas seade või kasutaja on tõeliselt kompromiteeritud. Oskus koguda väikseid osi, mis koos moodustavad tõendid lõpliku otsuse tegemiseks objekti kompromiteerituse kohta, saavutatakse väga põhjaliku analüüsi ja korrelatsiooni abil.
See võimekus on äärmiselt oluline, sest tavaline ettevõte võib igapäevaselt saada tohutu hulga alarmisignaale, ning igaühe uurimine on võimatu – turvaekspertide ressursid on piiratud. Masinõppe moodul töötleb tohutut teavet peaaegu reaalajas, et tuvastada kriitilisi sündmusi kõrge usaldusastmega ning suudab ka pakkuda selget tegevuskava kiireks kõrvaldamiseks.
Vaatame lähemalt Stealthwatchis kasutatavaid mitmekesiseid masinõppe meetodeid. Kui juhtum edastatakse Stealthwatchi masinõppe moodulisse, läbib see turvanalüüsi toru, kus kasutatakse õpetatud ja õpetamata masinõppe meetodite kombinatsiooni.
Mitmeastmelise masinõppe võimalused
Tase 1. Anomaaliate tuvastamine ja usalduse modelleerimine
Sellel tasemel filtreeritakse 99 % liiklust statistiliste anomaaliate tuvastajate abil. Tootetud detektorid koos loovad keerulised mudelid selle kohta, mis on normaalne ja mis on anomaalne. Siiski ei tähenda anomaalne tingimata, et tegemist on pahatahtliku tegevusega. Paljuski toimub teie võrgus, mis ei ole seotud ohuga — see on lihtsalt kummaline. Oluline on siiski klassifitseerida sellised protsessid sõltumata ähvardavast käitumisest. Seetõttu läbivad selliste detektorite tulemused edasise analüüsi, et tuvastada kummalist käitumist, milles on vajadusel seletus ning millele saab toetuda. Lõpuks jõuab vaid väike osa kõige olulisematest voogudest ja päringutest 2. ja 3. tasemele. Ilma selliste masinõppe meetodite rakendamiseta oleks operatiivkulud signaali eristamiseks müra seast liiga suured.
Anomaaliate tuvastamine. Esimese etapina kasutatakse anomaaliate tuvastamiseks statistilisi masinõppemeetodeid, et eristada statistiliselt normaalset liiklust anomaalsest. Üle 70 eraldi detektori töötlevad Stealthwatchi kogutud telemeetriandmeid, mis puudutavad liiklust, mis läbib teie võrgupiiri, eristades sisemist domeeninime (DNS) liiklust ja vajadusel ka puhverserveri andmeid. Iga päringut töödeldakse enam kui 70 detektoriga, kusjuures iga detektor kasutab oma statistilist algoritmi, et kujundada tuvastatud anomaaliate hindamist. Need hinnangud ühendatakse ning mitme statistilise meetodi rakendamisel saadakse iga eraldi päringu jaoks ühine hinnang. Seejärel kasutatakse seda koondhindamist normaalsete ja anomaalsete liiklusvoogude eristamiseks.
Usalduse modelleerimine. See all similar requests are grouped, and the overall anomaly assessment for such groups is determined as a long-term average. Over time, more requests are analyzed with subsequent determination of the long-term average, which helps reduce false positives and false negatives. The results of confidence modeling are used to select a subset of traffic whose anomaly assessment exceeds a dynamically defined threshold for further processing.
Tase 2. Sündmuste klassifitseerimine ja objekti modelleerimine
Sel tasemel toimub eelneva etapi tulemustest saadud klassifitseerimine, seostades need konkreetsete pahatahtlike sündmustega. Sündmuste klassifitseerimine toimub masinõppe klassifikaatorite määratud väärtuste alusel, et tagada pidev täpsuse tase üle 90%. Nende hulka kuuluvad:
- lihtsad mudelid, mis põhinevad Neymani-Pearsoni lemma'l (normaaljaotuse seadus artikli alguses).
- toetav vektori masinad, mis kasutavad mitmekesist õppimist
- neuraalvõrgud ja algoritm 'juhuslik mets'.
Seejärel seotakse ajas sellised isolatsioonitud turbeintsidendid ühe lõpuseadmestikuga. Just sellel etapil koostatakse ohuhinne, mille alusel luuakse täielik ülevaade sellest, kuidas vastav pahatahtlik isik saavutas teatud tulemused.
Sündmuste klassifitseerimine. Statistiliselt ebanormaalne alamhulk eelmisest tasemest jaotatakse 100 ja enam kategooriasse klassifikaatorite abil. Enamik klassifikaatoreid põhineb individuaalsel käitumisel, gruppide suhetest või käitumisest globaalsetes või kohalikes kontekstides, samas kui teised võivad olla üsna spetsiifilised. Näiteks võib klassifikaator viidata käsurea serverite liiklusele, kahtlasele laiendusele või volitamata tarkvarauuendusele. Selle etapi tulemusena luuakse ebanormaalsete sündmuste kogum, mis on turvasüsteemis määratletud kindlatesse kategooriatesse.
Objekti modelleerimine. Kui tõendite maht, mis toetab teooriat teatud objekti kahjulikkuse kohta, ületab oluliste tõendite piiri, määratakse oht. Vastavad sündmused, mis mõjutasid ohu määratlemist, seotakse sellise ohuga ja muutuvad osa objekti diskreetsest pikaajalisest mudelist. Aja jooksul tõendite kogunemisega määrab süsteem uusi ohte, kui saavutatakse oluliste tõendite künnis. See künnis on dünaamiline ja läbib intellektuaalset kohandamist lähtudes ohu ilmnemise riskitasemest ja muudest teguritest. Pärast seda ilmub oht veebiliidese informatsioonipaneelile ja liigub järgmisele tasemele.
3. tase. Suhete modelleerimine
Suhete modelleerimise eesmärk on sünteesida varasematel tasanditel saadud tulemused globaalsest vaatenurgast, arvestades vastava juhtumi konteksti mitte ainult kohalikul, vaid ka globaalset tasandil. Just sel etapil saate määratleda, kui palju organisatsioone on sellise rünnakuga kokku puutunud, et mõista, kas see oli suunatud konkreetselt teile või on see osa globaalsetest kampaaniatest, kuhu te lihtsalt «libisesite».
Incidendid kinnitatakse või tuvastatakse. Kinnitatud juhtum tähendab 99 kuni 100 % kindlust, kuna vastavad meetodid ja tööriistad on varem suurtes (globaalsetes) ulatustes toiminud. Tuvastatud juhtumid on teie jaoks unikaalsed ja moodustavad osa kitsalt suunatud kampaaniast. Varasemad tulemused edastatakse teadaoleva tegevuse järjekorraga, mis aitab teil säästa aega ja ressursse reageerimisel. Need edastatakse koos uurimistööriistadega, mida vajate, et mõista, kes teid ründas, ja milline on kampaania suunatus teie digitaalsele ärile. Nagu võite ette kujutada, ületab kinnitatud juhtumite hulk märkimisväärselt tuvastatud juhtumite arvu, kuna kinnitatud juhtumid ei too kaabakaile suuri kulutusi, samas kui tuvastatud juhtumid on kulukamad.
kallis, kuna need peavad olema uued ja isikupärastatud. Tänu kinnitatud sündmuste tuvastamise võimaluste loomisele on mängu majandus lõpuks kaitsjate kasuks liikunud, andes neile teatava eelise.
ETA-põhine närvivõrkude süsteemi mitmeastmeline õpetamine
Globaalne riskikaart
Globaalne riskikaart luuakse masinõppe algoritmide rakendamise kaudu ühele suurimale andmebaasile oma valdkonnas. See pakub ulatuslikke statistilisi andmeid veebiserverite käitumise kohta, isegi kui need pole tuttavad. Sellised serverid on seotud rünnakutega, neid võidakse kasutada või neid võidakse tulevikus rünnaku raames kasutada. See ei ole "must nimekiri", vaid põhjalik ülevaade vaadeldava serveri turvalisusest. Selline teave mainitud serverite tegevuse kohta, mis on koostatud konteksti arvesse võttes, võimaldab Stealthwatchi masinõppe detektoreid ja klassifitseerijaid täpselt ette ennustada riskitaset, mis on seotud nende serveritega suhtlemisega.
Vaata saadaval olevaid kaarte .
Maakaard, mis näitab 460 miljonit IP-aadresse
Nüüd õpib võrk ja kaitseb teie võrku.
Kas lõpuks on leidunud igavene lahendus?
Kahjuks ei. Oma kogemustega süsteemiga töötamisel võin öelda, et on kaks suurt probleemi.
Probleem 1. Hind. Kogu võrk on üles seatud Cisco süsteemi peale. See on nii hea kui halb. Hea külg on see, et te ei pea muretsema ning paigaldama hulgaliselt erinevaid seadmeid nagu D-Link, MikroTik jne. Miinus – süsteemi tohutu hind. Arvestades Vene äride majanduslikku olukorda, võib endale seda imekallilt lubada vaid jõukas suur ettevõtte või pangajuhataja.
Probleem 2. Koolitus. Ma ei maininud artiklis neuraalvõrgu koolitamise aega, kuid mitte sellepärast, et seda poleks, vaid seepärast, et see õpib pidevalt ja me ei saa ennustada, millal see lõpuks oskused omandab. Muidugi on olemas matemaatilise statistika vahendid (võtke näiteks Pearsoni lähenevuse kriteeriumi vorm), kuid need on poolikud lahendused. Saame ainult tõenäosuse liikluse filtreerimiseks, ja seda vaid juhul, kui rünnak on juba omandatud ja tuntud.
Vaatamata nendele kahe probleemile oleme teinud suur edusammu teabe turvalisuse ja võrgukaitse valdkonnas. See fakt võib innustada uurima võrgu tehnoloogiaid ja närvivõrke, mis on praegu väga perspektiivikas suund.
Allikas: habr.com
