{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Kr\u00fcpteeritud liikluse anal\u00fc\u00fcs ilma selle dekodeerimise","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Liiklust anal\u00fc\u00fcsiv s\u00fcsteem ilma dekr\u00fcpteerimiseta. Seda meetodit nimetatakse lihtsalt - \"masin\u00f5ppeks\". On selgunud, et kui edastada spetsiaalsele klassifikaatorile v\u00e4ga suur hulk erinevat liiklust, siis suudab s\u00fcsteem v\u00e4ga suure t\u00f5en\u00e4osusega tuvastada pahatahtlike koodide tegevust kr\u00fcpteeritud liikluses.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud<\/p>\n

<\/a><\/noindex><\/p>\n

V\u00f5rguh\u00e4dad on muutunud ja muutunud \"kuulavamateks\". Viimastel aegadel on muutunud r\u00fcnnaku ja kaitse kontseptsioon. V\u00f5rgus toimuvate s\u00fcndmuste arv on mitu korda kasvanud. R\u00fcnnakud on muutunud n\u00f5udlikumaks ning h\u00e4kkeritel on n\u00fc\u00fcd laiem r\u00fcnnakuulatus.<\/p>\n

<\/p>\n

Cisco statistika kohaselt kolmekordistavad kurjategijad viimase aasta jooksul pahavara arvu, mida nad oma tegevuses kasutavad, t\u00e4psemalt selle varjamiseks - kr\u00fcpteerimiseks. Teooriast on teada, et \"\u00f5ige\" kr\u00fcpteerimisalgoritmi ei saa murda. Selleks, et m\u00f5ista, mis peitub kr\u00fcpteeritud liikluse sees, tuleb kas see dekr\u00fcpteerida, teadmise v\u00f5ti, v\u00f5i proovida seda dekr\u00fcpteerida erinevate n\u00e4ppude abil, v\u00f5i r\u00fcnnata otseselt, v\u00f5i kasutada m\u00f5ningaid haavatavusi kr\u00fcptograafilistes protokollides.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nKaasaegsete v\u00f5rguh\u00e4\u00e4lte pilt<\/em><\/p>\n

<\/p>\n

Masin\u00f5pe<\/h3>\n

<\/p>\n

Tunne tehnoloogiat n\u00e4ost n\u00e4kku! Enne kui r\u00e4\u00e4gime, kuidas t\u00f6\u00f6tab masin\u00f5ppe p\u00f5hine dekr\u00fcpteerimistehnoloogia, tuleb anal\u00fc\u00fcsida, kuidas t\u00f6\u00f6tab n\u00e4rvivoogude tehnoloogia.<\/p>\n

<\/p>\n

Masin\u00f5pe (Machine Learning) on ulatuslik kunstliku intelligentsi haru, mis uurib algoritmide loomise meetodeid, mis suudavad \u00f5ppida. See teadus on suunatud arvuti \u201e\u00f5ppimise\u201d matemaatiliste mudelite loomisele. \u00d5ppimise eesm\u00e4rk on midagi ennustada. Inimlikus m\u00f5istes nimetame seda protsessi s\u00f5naks \u201etarkus\u201d<\/em>. Tarkus ilmneb inimestes, kes on elanud piisavalt kaua (2-aastane laps ei saa olla tark). Kui p\u00f6\u00f6rdume vanemate kaaslaste poole n\u00f5u k\u00fcsima, anname neile mingit teavet s\u00fcndmuse kohta (sisend) ja palume abi. Nemad meenutavad omakorda k\u00f5iki olukordi elust, mis on seotud teie probleemiga (teadmiste baas) ja nende teadmiste (andmete) p\u00f5hjal annavad meile omamoodi ennustuse (n\u00f5u). Seda t\u00fc\u00fcpi n\u00f5uandeid on hakatud nimetama ennustusteks, kuna n\u00f5u andjal ei ole kindlat teadmist selle kohta, mis juhtub, vaid ta ainult eeldab. Elukogemus n\u00e4itab, et inimene v\u00f5ib olla \u00f5igus, aga ka eksida.<\/p>\n

<\/p>\n

\u00c4rge v\u00f5rrelge n\u00e4rviv\u00f5rke haru-tingimuslikkuse algoritmiga (if-else). Need on erinevad asjad ja neil on olulised erinevused. Haru-tingimuslikkuse algoritm m\u00f5istab selgelt, mida teha. N\u00e4itan n\u00e4idete kaudu.<\/p>\n

<\/p>\n

\u00dclesanne. M\u00e4\u00e4rata auto pidurdusteekond selle marka ja tootmisaasta p\u00f5hjal.<\/p>\n

<\/p>\n

Haru-tingimuslikkuse algoritmi n\u00e4ide. Kui auto on marki 1 ja toodetud 2012. aastal \u2013 on selle pidurdusteekond 10 meetrit, muidu, kui auto on marki 2 ja toodetud 2011. aastal ja nii edasi.<\/p>\n

<\/p>\n

N\u00e4ide tehisn\u00e4rviv\u00f5rgu t\u00f6\u00f6st. Kogume andmeid s\u00f5idukite pidurdusteede kohta viimase 20 aasta jooksul. Loe mark ja aasta ning koostame tabeli kujul \u201emark-aasta-vidurdusteekond\u201c. Jagame selle tabeli tehisn\u00e4rviv\u00f5rgule ja alustame selle \u00f5petamist. Koolitus toimub j\u00e4rgmiselt: edastame andmed tehisn\u00e4rviv\u00f5rgule, kuid ilma pidurdusteeta. Tehisn\u00e4rviv\u00f5rk \u00fcritab ennustada, milline on pidurdusteekond, tuginedes edastatud tabelile. See ennustab midagi ja esitab kasutajale k\u00fcsimuse \u201eKas ma olen \u00f5ige?\u201d. Enne k\u00fcsimust loob see neljanda veeru \u2013 ennustuste veeru. Kui see on \u00f5ige, siis paneb see neljandasse veergu 1, kui vale \u2013 0. Tehisn\u00e4rviv\u00f5rk liigub j\u00e4rgmise s\u00fcndmuse juurde (isegi kui see eksib). Nii \u00f5pib v\u00f5rk ja kui koolitus on l\u00f5ppenud (kui on saavutatud teatud konvergensi kriteerium), edastame andmed meid huvitava s\u00f5iduki kohta ja l\u00f5puks saame vastuse.<\/p>\n

<\/p>\n

Kuna konvergentsi kriteeriumi suhtes on k\u00fcsimusi, selgitan, et see on matemaatiliselt tuletatud valem statistika jaoks. Selge n\u00e4ide kahe erineva konvergentsi valemi kohta. Punane \u2013 binaarne konvergents, sinine \u2013 normaalne konvergents.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nBinaar- ja normaaljaotused<\/em><\/p>\n

<\/p>\n

Et oleks selgem, esitage k\u00fcsimus: \u00abMis on t\u00f5en\u00e4osus dinosaurusega kohtuda?\u00bb. Siin on 2 vastusevarianti. Variant 1 \u2013 v\u00e4ga madal (sinine graafik). Variant 2 \u2013 kas kohtun v\u00f5i mitte (punane graafik).<\/p>\n

<\/p>\n

Muidugi, arvuti ei ole inimene ja \u00f5pib teisiti. Erinevad 2 t\u00fc\u00fcpi \u00f5petamisviisi on. ooduslik \u00f5petamine<\/strong> ja deduktiivne \u00f5petamine<\/strong>.<\/p>\n

<\/p>\n

Ooduslik \u00f5petamine on matemaatiliste seaduste j\u00e4rgi \u00f5petamise meetod. Matemaatikud koguvad statistika tabeleid, teevad j\u00e4reldusi ja laadivad n\u00e4rviv\u00f5rku tulemuse \u2013 valemi arvutamiseks.<\/p>\n

<\/p>\n

Deduktiivne \u00f5petamine \u2013 \u00f5petamine toimub t\u00e4ielikult n\u00e4rviv\u00f5rgus (andmete kogumisest kuni anal\u00fc\u00fcsini). Siin moodustatakse tabel ilma valemita, kuid statistika on olemas.<\/p>\n

<\/p>\n

Tehnoloogia p\u00f5hjalik \u00fclevaade v\u00f5taks veel paar k\u00fcmmet artiklit. Hetkel on meil sellest piisavalt \u00fcldise arusaamise jaoks.<\/p>\n

<\/p>\n

Neuroplastilisus<\/h3>\n

<\/p>\n

Bioloogias on selline m\u00f5iste nagu neuroplastilisus. Neuroplastilisus on neuronite (aju rakkude) v\u00f5ime tegevust kaasaegsete olukordade j\u00e4rgi kohandada. N\u00e4iteks, inimene, kes on kaotanud n\u00e4gemise, kuuleb paremini helisid, tunneb l\u00f5hnade n\u00fcansse ja tajub objekte. See juhtub, kuna osa ajust (neuronite osa), mis vastutab n\u00e4gemise eest, suunab oma t\u00f6\u00f6 teisele funktsionaalsusele.<\/p>\n

<\/p>\n

Edukaks n\u00e4iteks neuroplastilisusest elus on BrainPort komm.<\/p>\n

<\/p>\n

Aastal 2009 kuulutas Wisconsin-Madisoni \u00fclikool v\u00e4lja uue seadme, mis arendab \"keelekuva\" ideid \u2013 see sai nimeks BrainPort. BrainPort t\u00f6\u00f6tab j\u00e4rgmise algoritmi kohaselt: videopilt edastatakse kaamerast protsessorisse, mis juhib suumimist, heledust ja muid pildi parameetreid. Samuti muundab see digitaalsed signaalid elektrilisteks impulsse, v\u00f5ttes praktikas \u00fcle retinaktiivsed funktsioonid.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nBrainPort komm koos prillide ja kaameraga<\/em><\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nBrainPort t\u00f6\u00f6s<\/em><\/p>\n

\n

\r\n \"Vaata\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Sama asi on arvutite puhul. Kui n\u00e4rviv\u00f5rk tunneb protsessi muutust, kohandub see selle j\u00e4rgi. See on n\u00e4rviv\u00f5rkude peamine eelis v\u00f5rreldes teiste algoritmidega \u2013 autonoomsus. Omas m\u00f5ttes inimlikkus.<\/p>\n

<\/p>\n

Kr\u00fcpteeritud liikluse anal\u00fc\u00fcs<\/h3>\n

<\/p>\n

Kr\u00fcpteeritud liikluse anal\u00fc\u00fcs on osa Stealthwatchi s\u00fcsteemist. Stealthwatch on Cisco ettev\u00f5tte arendatud lahendus turvalisuse j\u00e4lgimiseks ja anal\u00fc\u00fcsiks, mis kasutab olemasolevast v\u00f5rgutaristust saadud ettev\u00f5tte telemeetriandmeid.<\/p>\n

<\/p>\n

Stealthwatch Enterprise'i aluseks on Flow Rate License, Flow Collector, Management Console ja Flow Sensor t\u00f6\u00f6riistad.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nCisco Stealthwatchi kasutajaliides<\/em><\/p>\n

<\/p>\n

Kr\u00fcptimise probleem on muutunud v\u00e4ga teravaks, kuna j\u00e4rjest rohkem liiklust on hakanud kr\u00fcpteerima. Kui varem kr\u00fcpteeriti peamiselt vaid koodi, siis n\u00fc\u00fcd kr\u00fcpteeritakse kogu liiklus, muutes 'puhta' info eristamise viirustest tunduvalt keerulisemaks. Hea n\u00e4ide on WannaCry, mis kasutas oma kohaloleku varjamiseks Tor'i.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nVisuaalne \u00fclevaade kr\u00fcpteeritud liikluse kasvu kohta v\u00f5rgus<\/em><\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nKr\u00fcptimine makro\u00f6konoomikas<\/em><\/p>\n

<\/p>\n

Encrypted Traffic Analytics (ETA) s\u00fcsteem on vajalik, et t\u00f6\u00f6tada kr\u00fcpteeritud liiklusega ilma selle dekodeerimiseta. Kurjategijad on nutikad ja kasutavad kr\u00fcptograafilisi \u0161ifreerimisalgoritme, mille purustamine on probleemiks, mis toob organisatsioonidele kaasa tohutud kulud.<\/p>\n

<\/p>\n

S\u00fcsteem t\u00f6\u00f6tab j\u00e4rgmiselt. Ettev\u00f5ttesse j\u00f5uab mingi liiklus. See suunatakse TLS-i (transport layer security \u2014 transporditase kaitse protokoll). Oletame, et liiklus on kr\u00fcpteeritud. Me p\u00fc\u00fcame vastata mitmele k\u00fcsimusele selle kohta, milline \u00fchendus on loodud.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nEncrypted Traffic Analytics (ETA) s\u00fcsteemi t\u00f6\u00f6p\u00f5him\u00f5te<\/em><\/p>\n

<\/p>\n

K\u00fcsimustele vastamiseks kasutame selle s\u00fcsteemi masin\u00f5pet. Kasutatakse Cisco ettev\u00f5tte teadusuuringute tulemusi, mille alusel koostatakse 2 tulemuse tabel \u2014 kahjulik ja \"hea\" liiklus. Loomulikult ei tea me t\u00e4pselt, milline liiklus on s\u00fcsteemi sattunud, kuid saame j\u00e4lgida liikluse ajalugu nii ettev\u00f5ttes seest kui ka v\u00e4ljaspool, toetudes globaalsetele andmetele. Selle etapi l\u00f5puks saame tohutu andmetabeli.<\/p>\n

<\/p>\n

Uuringu tulemusena tuvastatakse iseloomulikud tunnused \u2013 teatud reeglid, mis on kirja pandud matemaatilisel kujul. Need reeglid erinevad v\u00e4ga palju erinevate kriteeriumide j\u00e4rgi \u2013 edastatavate failide suuruse, \u00fchendust\u00fc\u00fcbi, riigi j\u00e4rgi, kust see liiklus p\u00e4rineb jne. Tulemuseks muutus tohutu tabel hulgaks valemitest. Nende arv v\u00e4henes, kuid see ei piisa mugavaks t\u00f6\u00f6ks.<\/p>\n

<\/p>\n

Edasi rakendatakse masin\u00f5ppe tehnoloogiat \u2013 valemi konvergeerumist ja selle tulemuste p\u00f5hjal saame trigeri \u2013 l\u00fcliti, kus andmete v\u00e4ljumisel saame v\u00e4ljal\u00fclitaja (lipu) t\u00f5stetud v\u00f5i madalasse asendisse.<\/p>\n

<\/p>\n

Tulemustehnisetapil \u2013 triggerelementide komplekti saamine, mis katab 99% liiklusest.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nLiikluskontrolli etapid ETA<\/em><\/p>\n

<\/p>\n

Tulemuseks on lahendatud veel \u00fcks probleem \u2013 siser\u00fcnnakud. Enam ei ole vaja keskelt inimesi, kes filtreerivad liiklust k\u00e4sitsi (sel hetkel olen ma ise endale kahjuks kuhugi jalgade vahele j\u00e4\u00e4nud). Esiteks ei ole enam vaja kulutada palju raha oskuslikule s\u00fcsteemiadministraatorile (j\u00e4tkan endale kahju tegemist). Teiseks puudub oht siser\u00fcnnakuteks (v\u00e4hemalt osaliselt).<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nAegunud Man-in-the-Middle kontseptsioon<\/em><\/p>\n

<\/p>\n

N\u00fc\u00fcd, uurime, millele s\u00fcsteem p\u00f5hineb.<\/p>\n

<\/p>\n

S\u00fcsteem t\u00f6\u00f6tab neljal suhtlusprotokollil: TCP\/IP \u2013 andmete edastamise protokoll internetis, DNS \u2013 domeeninimede server, TLS \u2013 transporditasandi turvaprotokoll, SPLT (SpaceWire Physical Layer Tester) \u2013 f\u00fc\u00fcsilise suhtlemise tasandi tester.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nProtokollid, mis t\u00f6\u00f6tavad ETA-ga<\/em><\/p>\n

<\/p>\n

V\u00f5rdlus toimub andmete vastandamise teel. TCP\/IP protokollide abil kontrollitakse veebisaitide mainet (k\u00fclastuse ajalugu, saidi loomise eesm\u00e4rk jne), t\u00e4nu DNS protokollile saame k\u00f5rvaldada \"halvad\" saidi aadressid. TLS protokoll t\u00f6\u00f6tab saidi \"j\u00e4lgede\" (fingerprint) p\u00f5hjal ja kontrollib saidi h\u00e4daolukordadele reageerimise arvutigrupi andmebaasi (cert). \u00dchenduse kontrollimise viimane etapp on f\u00fc\u00fcsilise tasandi kontroll. Selle etapi t\u00f6\u00f6 \u00fcksikasju ei avaldata, kuid m\u00f5te seisneb j\u00e4rgmiselt: andme\u00fclekande k\u00f5verate siinus- ja kosinuse kontrollimine osillograafilistes seadmetes, st. t\u00e4nu f\u00fc\u00fcsilise tasandi p\u00e4ringu struktuurile m\u00e4\u00e4rame \u00fchenduse eesm\u00e4rgi.<\/p>\n

<\/p>\n

S\u00fcsteemi t\u00f6\u00f6 tulemusena suudame me k\u00e4tte saada andmeid kr\u00fcpteeritud liiklusest. Pakettide anal\u00fc\u00fcsi kaudu saame lugeda maksimaalselt teavet paketi lahtiste v\u00e4ljade kaudu. F\u00fc\u00fcsilise tasandi pakettide inspekteerimise abil saame tuvastada paketi omadused (osaliselt v\u00f5i t\u00e4ielikult). Samuti ei tohi unustada veebilehtede mainet. Kui p\u00e4ring p\u00e4rineb m\u00f5nest .onion allikast, pole m\u00f5istlik sellele usaldada. Selliste andmete t\u00f6\u00f6tlemise lihtsustamiseks on loodud riskikaart.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nETA t\u00f6\u00f6 tulemus<\/em><\/p>\n

<\/p>\n

Ja k\u00f5ik tundub hea, aga r\u00e4\u00e4gime v\u00f5rgu juurutamisest.<\/p>\n

<\/p>\n

ETA f\u00fc\u00fcsiline rakendamine<\/h3>\n

<\/p>\n

Siin kerkivad esile mitmed n\u00fcansid ja peensused. Esiteks, sellise
\nv\u00f5rgu loomisel koos k\u00f5rgetasemelise tarkvaraga on vajalik andmete kogumine. Andmete k\u00e4sitsi kogumine on t\u00e4iesti
\nkeeruline, kuid reageerimiss\u00fcsteemi elluviimine on juba huvitavam. Teiseks peavad andmed
\nolema ulatuslikud, mis t\u00e4hendab, et paigaldatud v\u00f5rgu sensorid peavad t\u00f6\u00f6tama
\nmitte ainult iseseisvalt, vaid ka t\u00e4pselt reguleeritud re\u017eiimis, mis toob endaga kaasa mitmeid keerukusi.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nSensorid ja Stealthwatch s\u00fcsteem<\/em><\/p>\n

<\/p>\n

Anduri paigaldamine on \u00fcks asi, kuid selle seadistamine on t\u00e4iesti erinev \u00fclesanne. Sensoreid seadistamiseks on olemas kompleks, mis t\u00f6\u00f6tab j\u00e4rgmise topoloogia j\u00e4rgi \u2013 ISR = Cisco teenuste integreeritud ruuter (Cisco Integrated Services Router); ASR = Cisco teenuste agregatsiooni ruuter (Cisco Aggregation Services Router); CSR = Cisco pilveteenuste ruuter (Cisco Cloud Services Router); WLC = Cisco traadita kohalike v\u00f5rkude kontroller (Cisco Wireless LAN Controller); IE = Cisco t\u00f6\u00f6stuslik Ethernet-l\u00fcliti (Cisco Industrial Ethernet); ASA = Cisco kohandatud turbe seadme (Cisco Adaptive Security Appliance); FTD = Cisco Firepower Threat Defense ohu kaitse lahendus; WSA = veebiliikluse kaitse seade (Web Security Appliance); ISE = identiteedi teenuste mootor (Identity Services Engine)<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nKompromissituline j\u00e4lgimine, mis arvestab k\u00f5iki telemeetriandmeid<\/em><\/p>\n

<\/p>\n

V\u00f5rguhalduritel hakkab eelnevas l\u00f5igus s\u00f5na \u00abCisco\u00bb arvust ar\u00fctmia tekkima. Selle imelise lahenduse hind on m\u00e4rkimisv\u00e4\u00e4rne, kuid t\u00e4na ei r\u00e4\u00e4gi me sellest...<\/p>\n

<\/p>\n

H\u00e4kkerite k\u00e4itumise modelleerimine toimub j\u00e4rgmiselt. Stealthwatch j\u00e4lgib hoolikalt iga seadme aktiivsust v\u00f5rgus ja suudab luua normaalse k\u00e4itumise mustri. Lisaks sellele annab see lahendus s\u00fcgava arusaama tuntud sobimatust k\u00e4itumisest. K\u00e4esolevas lahenduses kasutatakse umbes 100 erinevat anal\u00fc\u00fcsialgoritmi v\u00f5i heuristilist reeglit, mis k\u00e4sitlevad erinevaid liiklusk\u00e4itumise t\u00fc\u00fcpe, nagu skaneerimine, alarmiprogrammi v\u00f5rkude kaudu edastamine, sisse logimine paroolide proovimisega, andmete oletatav haaramine, andmete oletatav leke ja nii edasi. Loetletud turvaseosed kuuluvad k\u00f5rge taseme loogiliste alarmide kategooriasse. M\u00f5ned turvaseosed v\u00f5ivad iseenesest p\u00f5hjustada alarmide aktiveerimist. Seega on s\u00fcsteem v\u00f5imeline korreleerima arvukalt isoleeritud anomalisi ja koondama need kokku, et m\u00e4\u00e4rata v\u00f5imaliku r\u00fcnnaku t\u00fc\u00fcbi ja siduda see konkreetse seadme ja kasutajaga (joonis 2). Edasi liikudes saab juhtumit uurida d\u00fcnaamiliselt ja v\u00f5tta arvesse seotud telemeetriandmeid. See moodustab kontekstuaalse teabe oma parimas vormis. Arstid, kes uurivad patsienti, et m\u00f5ista, mis on juhtunud, ei vaata s\u00fcmptomeid eraldi. Nad uurivad \u00fcldpilti, et teha diagnoos. Sarnaselt registreerib Stealthwatch iga anomaalse tegevuse v\u00f5rgus ja uurib seda tervikuna, et saata h\u00e4ireteateid arvestades konteksti, aidates seel\u00e4bi turvaekspertidel riske prioriseerida.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nAnomaaliate avastamine k\u00e4itumismudeli abil<\/em><\/p>\n

<\/p>\n

F\u00fc\u00fcsiline v\u00f5rgu paigaldamine n\u00e4eb v\u00e4lja selline:<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nFiliaaliv\u00f5rgu paigaldamise variant (lihtsustatud)<\/em><\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nFiliaaliv\u00f5rgu paigaldamise variant<\/em><\/p>\n

<\/p>\n

V\u00f5rk on paigaldatud, kuid j\u00e4\u00e4b lahtiseks k\u00fcsimus n\u00e4rviv\u00f5rgu osalemise kohta. Andmesidev\u00f5rk on loodud, sensorid on piiril paigaldatud ning teabe kogumise s\u00fcsteem on k\u00e4ivitatud, kuid n\u00e4rviv\u00f5rk ei osalenud protsessis. Hetkel.<\/p>\n

<\/p>\n

Mitmeastmeline n\u00e4rviv\u00f5rk<\/h3>\n

<\/p>\n

S\u00fcsteem anal\u00fc\u00fcsib kasutaja ja seadme k\u00e4itumist pahatahtlike nakkuste, suhtluste k\u00e4surea serveritega, andmelekkete ja potentsiaalselt soovimatute rakenduste tuvastamiseks, mis t\u00f6\u00f6tavad organisatsiooni infrastruktuuris. Andmete t\u00f6\u00f6tlemisel on mitu taset, kus tehisintellekti, masin\u00f5ppe ja matemaatilise statistika meetodite kombinatsioon aitab v\u00f5rgul oma normaalse tegevuse ise\u00f5ppimisel, et see suudaks tuvastada pahatahtlikku tegevust.<\/p>\n

<\/p>\n

Stealthwatchi ainulaadne omadus on v\u00f5rgu turbeanal\u00fc\u00fcsi s\u00fcsteem, mis kogub telemeetriaid k\u00f5ikidest ulatuslikest v\u00f5rguosadest, sealhulgas kr\u00fcpteeritud liiklusest. See etappide kaupa arendab arusaama sellest, mis on 'anomoolne', seej\u00e4rel klassifitseerib tegelikud eraldi 'ohvakt tegevuse' elemendid ja l\u00f5puks teeb l\u00f5pliku otsuse, kas seade v\u00f5i kasutaja on t\u00f5eliselt kompromiteeritud. Oskus koguda v\u00e4ikseid osi, mis koos moodustavad t\u00f5endid l\u00f5pliku otsuse tegemiseks objekti kompromiteerituse kohta, saavutatakse v\u00e4ga p\u00f5hjaliku anal\u00fc\u00fcsi ja korrelatsiooni abil.<\/p>\n

<\/p>\n

See v\u00f5imekus on \u00e4\u00e4rmiselt oluline, sest tavaline ettev\u00f5te v\u00f5ib igap\u00e4evaselt saada tohutu hulga alarmisignaale, ning iga\u00fche uurimine on v\u00f5imatu \u2013 turvaekspertide ressursid on piiratud. Masin\u00f5ppe moodul t\u00f6\u00f6tleb tohutut teavet peaaegu reaalajas, et tuvastada kriitilisi s\u00fcndmusi k\u00f5rge usaldusastmega ning suudab ka pakkuda selget tegevuskava kiireks k\u00f5rvaldamiseks.<\/p>\n

<\/p>\n

Vaatame l\u00e4hemalt Stealthwatchis kasutatavaid mitmekesiseid masin\u00f5ppe meetodeid. Kui juhtum edastatakse Stealthwatchi masin\u00f5ppe moodulisse, l\u00e4bib see turvanal\u00fc\u00fcsi toru, kus kasutatakse \u00f5petatud ja \u00f5petamata masin\u00f5ppe meetodite kombinatsiooni.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nMitmeastmelise masin\u00f5ppe v\u00f5imalused<\/em><\/p>\n

<\/p>\n

Tase 1. Anomaaliate tuvastamine ja usalduse modelleerimine<\/h3>\n

<\/p>\n

Sellel tasemel filtreeritakse 99 % liiklust statistiliste anomaaliate tuvastajate abil. Tootetud detektorid koos loovad keerulised mudelid selle kohta, mis on normaalne ja mis on anomaalne. Siiski ei t\u00e4henda anomaalne tingimata, et tegemist on pahatahtliku tegevusega. Paljuski toimub teie v\u00f5rgus, mis ei ole seotud ohuga \u2014 see on lihtsalt kummaline. Oluline on siiski klassifitseerida sellised protsessid s\u00f5ltumata \u00e4hvardavast k\u00e4itumisest. Seet\u00f5ttu l\u00e4bivad selliste detektorite tulemused edasise anal\u00fc\u00fcsi, et tuvastada kummalist k\u00e4itumist, milles on vajadusel seletus ning millele saab toetuda. L\u00f5puks j\u00f5uab vaid v\u00e4ike osa k\u00f5ige olulisematest voogudest ja p\u00e4ringutest 2. ja 3. tasemele. Ilma selliste masin\u00f5ppe meetodite rakendamiseta oleks operatiivkulud signaali eristamiseks m\u00fcra seast liiga suured.<\/p>\n

<\/p>\n

Anomaaliate tuvastamine.<\/strong> Esimese etapina kasutatakse anomaaliate tuvastamiseks statistilisi masin\u00f5ppemeetodeid, et eristada statistiliselt normaalset liiklust anomaalsest. \u00dcle 70 eraldi detektori t\u00f6\u00f6tlevad Stealthwatchi kogutud telemeetriandmeid, mis puudutavad liiklust, mis l\u00e4bib teie v\u00f5rgupiiri, eristades sisemist domeeninime (DNS) liiklust ja vajadusel ka puhverserveri andmeid. Iga p\u00e4ringut t\u00f6\u00f6deldakse enam kui 70 detektoriga, kusjuures iga detektor kasutab oma statistilist algoritmi, et kujundada tuvastatud anomaaliate hindamist. Need hinnangud \u00fchendatakse ning mitme statistilise meetodi rakendamisel saadakse iga eraldi p\u00e4ringu jaoks \u00fchine hinnang. Seej\u00e4rel kasutatakse seda koondhindamist normaalsete ja anomaalsete liiklusvoogude eristamiseks.<\/p>\n

<\/p>\n

Usalduse modelleerimine.<\/strong> See all similar requests are grouped, and the overall anomaly assessment for such groups is determined as a long-term average. Over time, more requests are analyzed with subsequent determination of the long-term average, which helps reduce false positives and false negatives. The results of confidence modeling are used to select a subset of traffic whose anomaly assessment exceeds a dynamically defined threshold for further processing.<\/p>\n

<\/p>\n

Tase 2. S\u00fcndmuste klassifitseerimine ja objekti modelleerimine<\/h3>\n

<\/p>\n

Sel tasemel toimub eelneva etapi tulemustest saadud klassifitseerimine, seostades need konkreetsete pahatahtlike s\u00fcndmustega. S\u00fcndmuste klassifitseerimine toimub masin\u00f5ppe klassifikaatorite m\u00e4\u00e4ratud v\u00e4\u00e4rtuste alusel, et tagada pidev t\u00e4psuse tase \u00fcle 90%. Nende hulka kuuluvad:<\/p>\n

<\/p>\n