{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Kr\u00fcpteeritud liikluse anal\u00fc\u00fcs ilma selle dekodeerimata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Traffici anal\u00fc\u00fcsi s\u00fcsteem ilma selle dekodeerimiseta. Seda meetodit nimetatakse lihtsalt \u2013 \u201emasin\u00f5ppeks\u201c. On selgunud, et kui spetsiaalsesse klassifikaatorisse anda v\u00e4ga suur hulk erinevat liiklust, suudab s\u00fcsteem v\u00e4ga suure t\u00f5en\u00e4osusega tuvastada pahatahtlikku koodi tegevust \u0161ifreeeritud liikluse seas.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud<\/p>\n

<\/a><\/noindex><\/p>\n

V\u00f5rguh\u00e4dad on muutunud ja muutuvad \u201enutikamaks\u201c. Viimastel aegadel on muutunud r\u00fcnnaku ja kaitse kontseptsioon. V\u00f5rgus toimuvate s\u00fcndmuste arv on h\u00fcppeliselt kasvanud. R\u00fcnnakud on saanud keerukamaks ning h\u00e4kkeritel on laiem r\u00fcnnakute ulatus.<\/p>\n

<\/p>\n

Cisco statistika kohaselt on kurjategijad viimase aastaga kolmandiku v\u00f5rra suurendanud kahjulike programmide arvu, mida nad oma tegevuses kasutavad, t\u00e4psemalt nende varjamiseks \u2013 kr\u00fcpteerimiseks. Teoreetiliselt on teada, et \u201e\u00f5ige\u201c kr\u00fcpteerimisalgoritmi ei saa murda. Selleks, et m\u00f5ista, mis peitub \u0161ifreeeritud liikluses, tuleb kas see dekodeerida, teades v\u00f5tit, v\u00f5i proovida seda erinevate trikkide, otse murdmise v\u00f5i kr\u00fcptograafiliste protokollide haavatavuste abil de\u0161ifreerida.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nMeie aja v\u00f5rguh\u00e4dade pilt<\/em><\/p>\n

<\/p>\n

Masin\u00f5pe<\/h3>\n

<\/p>\n

Tunne tehnoloogiat l\u00e4hemalt! Enne kui r\u00e4\u00e4kida, kuidas masin\u00f5ppe p\u00f5hjal t\u00f6\u00f6tav dekodeerimistehnoloogia t\u00f6\u00f6tab, tuleb arutada, kuidas t\u00f6\u00f6tab n\u00e4rviv\u00f5rkude tehnoloogia.<\/p>\n

<\/p>\n

Masin\u00f5pe (Machine Learning) on ulatuslik tehisintellekti alajaotus, mis uurib algoritmide loomise meetodeid, mis suudavad \u00f5ppida. See teadus on suunatud matemaatiliste mudelite loomisele, mis \u201e\u00f5petavad\u201c arvutit. \u00d5ppe eesm\u00e4rk on midagi ennustada. Inimese m\u00f5istmisel nimetame seda protsessi s\u00f5naga \u201etarkus\u201c<\/em>. Tarkus ilmneb inimestel, kes on elanud piisavalt kaua (2-aastane laps ei saa olla tark). Kui me k\u00fcsime n\u00f5u vanematelt, anname neile mingit teavet s\u00fcndmuse (sisendi) kohta ja palume abi. Nemad omakorda meenutavad k\u00f5iki elusituatsioone, mis on seotud Teie probleemiga (teadmistebaas) ja nende teadmiste (andmete) p\u00f5hjal annavad meile omamoodi ennustuse (n\u00f5u). Seda t\u00fc\u00fcpi n\u00f5uandeid hakati nimetama ennustusteks, sest inimene, kes n\u00f5u annab, ei tea t\u00e4pselt, mida juhtuda v\u00f5iks, vaid oletab. Elukogemus n\u00e4itab, et inimene v\u00f5ib olla \u00f5igus, aga v\u00f5ib ka eksida.<\/p>\n

<\/p>\n

Ei ole m\u00f5istlik v\u00f5rrelda n\u00e4rviv\u00f5rke haru algoritmiga (if-else). Need on erinevad asjad ja neis on olulised erinevused. Haru algoritmil on selge 'arusaam', mida teha. Demonstreerin n\u00e4idete abil.<\/p>\n

<\/p>\n

\u00dclesanne. M\u00e4\u00e4rata auto pidurdusteekond vastavalt kaubam\u00e4rgile ja v\u00e4ljaande aastale.<\/p>\n

<\/p>\n

Haru algoritmi t\u00f6\u00f6 n\u00e4ide. Kui auto on kaubam\u00e4rki 1 ja v\u00e4lja antud 2012. aastal, siis on selle pidurdusteekond 10 meetrit, muidu, kui auto on kaubam\u00e4rki 2 ja v\u00e4lja antud 2011. aastal ja nii edasi.<\/p>\n

<\/p>\n

N\u00e4rviv\u00f5rgu t\u00f6\u00f6 n\u00e4ide. Kogume andmeid autode pidurdusteede kohta viimase 20 aasta jooksul. Kaubam\u00e4rgi ja aasta alusel koostame tabeli kujul 'kaubam\u00e4rk-aasta-m\u00fc\u00fcgiteekond'. Anname selle tabeli n\u00e4rviv\u00f5rgule ja hakkame seda \u00f5petama. \u00d5pe toimub j\u00e4rgmiselt: me toome andmeid n\u00e4rviv\u00f5rku, kuid ilma pidurdusteete v\u00e4\u00e4rtuseta. N\u00e4rviv\u00f5rk \u00fcritab ennustada, milline saab olema pidurdusteekond, tuginedes tema tabelile. Ta ennustab midagi ja esitab kasutajale k\u00fcsimuse 'Kas olen \u00f5ige?'. Enne k\u00fcsimust loob ta neljanda veeru \u2013 arvamise veeru. Kui ta on \u00f5ige, kirjutab ta neljandasse veergu 1, kui eksis \u2013 0. N\u00e4rviv\u00f5rk liigub j\u00e4rgmise s\u00fcndmuse juurde (isegi kui ta eksis). Nii \u00f5pib v\u00f5rk ja kui \u00f5pe on l\u00f5ppenud (on saavutatud kindel kokkulangevuse kriteerium), toome andmed huvipakkuva auto kohta ja l\u00f5puks saame vastuse.<\/p>\n

<\/p>\n

Kuna k\u00fcsimus kokkulangevuse kriteeriumi kohta on selge, selgitan, et see on matemaatiliselt tuletatud valem statistika jaoks. Erakordne n\u00e4ide kahest erinevast kokkulangevuse valemist. Punane \u2013 binaarne kokkulangevus, sinine \u2013 normaalne kokkulangevus.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nBinaarset ja normaaljaotused t\u00f5en\u00e4osusest<\/em><\/p>\n

<\/p>\n

Selgemaks m\u00f5istmiseks esitage k\u00fcsimus: \u201eMilline on t\u00f5en\u00e4osus dinosaurusega kokku sattuda?\u201d. Siin on kaks vastusevarianti. Variant 1 \u2013 v\u00e4ga v\u00e4ike (sinine graafik). Variant 2 \u2013 kas kohtan v\u00f5i ei kohtu (punane graafik).<\/p>\n

<\/p>\n

Muidugi, arvuti ei ole inimene ja see \u00f5pib erinevalt. Erakordset \u00f5ppimist jagatakse kaheks: pretsedentide \u00f5ppimine<\/strong> ja deduktiivne \u00f5ppimine<\/strong>.<\/p>\n

<\/p>\n

Pretsedentide \u00f5ppimine on \u00f5ppimise viis matemaatiliste seaduste p\u00f5hjal. Matemaatikud koguvad statistika tabeleid, teevad j\u00e4reldusi ja laadivad tulemuse n\u00e4rviv\u00f5rku \u2013 valemi arvutamiseks.<\/p>\n

<\/p>\n

Deduktiivne \u00f5ppimine \u2013 \u00f5pe toimub t\u00e4ielikult n\u00e4rviv\u00f5rgus (andmete kogumisest kuni nende anal\u00fc\u00fcsimiseni). Siin koostatakse tabel valemita, kuid statistika alusel.<\/p>\n

<\/p>\n

Tehnoloogia ulatuslik \u00fclevaade v\u00f5taks veel paar tosinat artiklit. Praegu piisab sellest \u00fcldiseks m\u00f5istmiseks.<\/p>\n

<\/p>\n

Neuroplastilisus<\/h3>\n

<\/p>\n

Bioloogias on selline m\u00f5iste nagu neuroplastilisus. Neuroplastilisus on neuronite (aju rakkude) v\u00f5ime tegutseda \u201eolukorra j\u00e4rgi\u201d. N\u00e4iteks, silmad kaotanud inimene kuulab paremini k\u00f5vasid helisid, tunneb l\u00f5hnu ja tajub esemeid. See toimub seet\u00f5ttu, et osa ajust (osa neuroneid), mis vastutab n\u00e4gemise eest, jaotab oma t\u00f6\u00f6 \u00fcmber teisele funktsionaalsusele.<\/p>\n

<\/p>\n

Selge n\u00e4ide neuroplastilisusest elus on BrainPorti komm.<\/p>\n

<\/p>\n

2009. aastal kuulutas Wisconsini \u00fclikool Madisonis v\u00e4lja uue seadme, mis arendab \u201ekeele-display\u201d ideid \u2013 selle nimeks sai BrainPort. BrainPort t\u00f6\u00f6tab j\u00e4rgmise algoritmi j\u00e4rgi: videopilt saadetakse kaamerast protsessorisse, mis reguleerib suumi, heledust ja teisi pildi parameetreid. Samuti muundab see digitaalsed signaalid elektrilisteks impulsideks, v\u00f5ttes tegelikult enda kanda v\u00f5rkkesta funktsioonid.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nBrainPort komm koos prillide ja kaameraga<\/em><\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nBrainPort t\u00f6\u00f6protsessis<\/em><\/p>\n

\n

\r\n \"M\u00e4ngi\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Sama kehtib ka arvuti kohta. Kui n\u00e4rviv\u00f5rk tunneb protsessi muutust, kohandub see selle j\u00e4rgi. See ongi n\u00e4rviv\u00f5rkude peamine eelis teiste algoritmide ees \u2013 autonoomsus. Teatud m\u00f5ttes inimlikkus.<\/p>\n

<\/p>\n

Kr\u00fcpteeritud liikluse anal\u00fc\u00fcs<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics on Stealthwatchi s\u00fcsteemi osa. Stealthwatch on Cisco arendus turvalisuse j\u00e4lgimise ja anal\u00fc\u00fcsi lahenduste valdkonnas, mis kasutab olemasolevast v\u00f5rguinfrastruktuurist kogutud ettev\u00f5tte telemeetria andmeid.<\/p>\n

<\/p>\n

Stealthwatch Enterprise'i aluseks on Flow Rate License, Flow Collector, Management Console ja Flow Sensor t\u00f6\u00f6riistad.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nCisco Stealthwatchi liides<\/em><\/p>\n

<\/p>\n

Kr\u00fcpteerimise probleem on p\u00e4evakorda t\u00f5usnud seoses sellega, et kr\u00fcpteeritakse palju rohkem liiklust. Varem kr\u00fcpteeriti peamiselt koodi, n\u00fc\u00fcd aga kr\u00fcpteeritakse kogu liiklus ja 'puhta' andmete eristamine viirustest on palju raskem. Heaks n\u00e4iteks on WannaCry, mis kasutas oma kohaloleku peitmiseks Tor'i.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nLiikluse kr\u00fcpteerimise kasvu visualiseerimine<\/em><\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nKr\u00fcpteerimine makro\u00f6konoomikas<\/em><\/p>\n

<\/p>\n

Encrypted Traffic Analytics (ETA) s\u00fcsteem on vajalik kr\u00fcpteeritud liiklusega t\u00f6\u00f6tamiseks ilma selle dekodeerimata. Kurjategijad on nutikad ja kasutavad kr\u00fcptograafilisi algoritme, mille purustamine on mitte ainult probleem, vaid ka \u00e4\u00e4rmiselt kulukas organisatsioonidele.<\/p>\n

<\/p>\n

S\u00fcsteem t\u00f6\u00f6tab j\u00e4rgmiselt. Ettev\u00f5ttesse j\u00f5uab mingisugune liiklus. See satub TLS-i (transport layer security \u2014 transportkihi kaitseprotokoll). Oletame, et liiklus on kr\u00fcpteeritud. Proovime vastata mitmele k\u00fcsimusele selle kohta, milline \u00fchendus on loodud.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nEncrypted Traffic Analytics (ETA) s\u00fcsteemi t\u00f6\u00f6p\u00f5him\u00f5te<\/em><\/p>\n

<\/p>\n

K\u00fcsimustele vastamiseks kasutame selle s\u00fcsteemi masin\u00f5pet. Kasutatakse Cisco uuringute andmeid ja nende uuringute p\u00f5hjal luuakse kaks tulemustabelit \u2014 pahatahtlik ja 'hea' liiklus. Loomulikult ei tea me, milline liiklus sattus s\u00fcsteemi just praegu, kuid saame j\u00e4lgida liikluse ajalugu nii ettev\u00f5ttes sees kui ka v\u00e4ljaspool, tuginedes globaalsetele andmetele. Selle etapi tulemusena saame tohutu andmetabeli.<\/p>\n

<\/p>\n

Uuringu tulemuste kohaselt ilmnevad iseloomulikud omadused \u2013 teatud reeglid, mida saab matemaatiliselt kirja panna. Need reeglid erinevad erinevate kriteeriumite j\u00e4rgi \u2013 edastatavate failide suuruse, \u00fchenduse t\u00fc\u00fcbi, riigi, kust see liiklus p\u00e4rineb jne. Tulemuseks on suur tabel, mis on muutunud hulga valemiteks. Nende arv on v\u00e4henenud, kuid see ei ole mugava t\u00f6\u00f6 jaoks piisav.<\/p>\n

<\/p>\n

Seej\u00e4rel rakendatakse masin\u00f5ppe tehnoloogiat \u2013 valemi konvergentsi ja selle tulemuse p\u00f5hjal saame aktiveerida p\u00e4\u00e4stiku \u2013 l\u00fcliti, kus andmete v\u00e4ljumisel saame l\u00fcliti (lipu), mis on \u00fcles v\u00f5i alla seatud.<\/p>\n

<\/p>\n

Tulemuslik etapp \u2013 p\u00e4\u00e4stikute komplekti saamine, mis katab 99% liiklusest.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nLiikluse kontrollimise etapid ETA-s<\/em><\/p>\n

<\/p>\n

Tulemuste p\u00f5hjal lahendatakse veel \u00fcks probleem \u2013 sissetungir\u00fcnnak. Inimeste kohalolek, kes filtreerivad liiklust k\u00e4sitsi, ei ole enam vajalik (sel hetkel kiidan ennast). Esiteks, ei ole enam vajalik kulutada palju raha p\u00e4devale s\u00fcsteemihaldurile (j\u00e4tkan enda kiitmist). Teiseks, sissetungi oht on v\u00e4henenud (v\u00e4hemalt osaliselt).<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nAegunud Man-in-the-Middle kontseptsioon<\/em><\/p>\n

<\/p>\n

N\u00fc\u00fcd, vaatame, mille p\u00f5hjal s\u00fcsteem rajatud on.<\/p>\n

<\/p>\n

S\u00fcsteem t\u00f6\u00f6tab neljal sideprotokollil: TCP\/IP \u2013 andmeedastuse protokoll internetis, DNS \u2013 domeeninimede server, TLS \u2013 transporttasandi kaitseprotokoll, SPLT (SpaceWire Physical Layer Tester) \u2013 f\u00fc\u00fcsilise side tasandi tester.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nProtokollid, mis t\u00f6\u00f6tavad ETA-ga<\/em><\/p>\n

<\/p>\n

V\u00f5rdlemine toimub andmete vastandamise teel. TCP\/IP protokollide abil kontrollitakse veebisaitide mainet (k\u00fclastusajalugu, veebisaidi loomise eesm\u00e4rk jne), t\u00e4nu DNS protokollile saame k\u00f5rvaldada \"halvad\" veebiaadressid. TLS protokoll t\u00f6\u00f6tab veebisaidi \"s\u00f5rmej\u00e4ljega\" (fingerprint) ja kontrollib saiti h\u00e4daolukordade reageerimise arvutigrupi andmebaasi p\u00f5hjal (cert). \u00dchenduse kontrollimise viimane etapp on f\u00fc\u00fcsilise tasandi kontroll. Selle etapi t\u00f6\u00f6 \u00fcksikasju ei k\u00e4sitleta, kuid selle m\u00f5te on j\u00e4rgmine: kontrollida andmete edastamise k\u00f5verate siinus- ja kosinuslainete kujusid oscilograafilistes seadmetes, s.t. f\u00fc\u00fcsilise tasandi p\u00e4ringu struktuuri p\u00f5hjal kindlaks m\u00e4\u00e4rata \u00fchenduse eesm\u00e4rk.<\/p>\n

<\/p>\n

S\u00fcsteemi t\u00f6\u00f6 tulemusena saame andmeid kr\u00fcpteeritud liiklusest k\u00e4tte. Pakettide anal\u00fc\u00fcsi kaudu saame lugeda v\u00f5imalikult palju teavet paketi dekr\u00fcpteeritud v\u00e4ljadest. F\u00fc\u00fcsilisel tasandil paketi inspekteerimise abil saame teada paketi omadused (osaliselt v\u00f5i t\u00e4ielikult). Samuti ei tasu unustada veebisaitide mainet. Kui p\u00e4ring tuli m\u00f5nest .onion allikast, ei tasu sellele usaldada. Selle t\u00fc\u00fcpi andmetega t\u00f6\u00f6tamise lihtsustamiseks on loodud riskikaart.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nETA t\u00f6\u00f6 tulemus<\/em><\/p>\n

<\/p>\n

Ja k\u00f5ik n\u00e4ib olevat h\u00e4sti, kuid r\u00e4\u00e4gime v\u00f5rgu juurutamisest.<\/p>\n

<\/p>\n

ETA f\u00fc\u00fcsiline teostus<\/h3>\n

<\/p>\n

Siin tekib mitmeid n\u00fcansse ja spetsiifikasid. Esiteks, sellise
\nv\u00f5rgu loomisel, mis kasutab k\u00f5rgema taseme tarkvara, on andmete kogumine h\u00e4davajalik. Andmete k\u00e4sitsi kogumine on t\u00e4iesti
\nebaefektiivne ning reageerimiss\u00fcsteemi rakendamine on juba huvitavam. Teiseks, andmeid
\npeab olema palju, mist\u00f5ttu peavad v\u00f5rgu paigaldatud sensorid t\u00f6\u00f6tama
\nmitte ainult iseseisvalt, vaid ka t\u00e4pselt reguleeritud re\u017eiimis, mis toob kaasa mitmeid raskusi.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nSensorid ja Stealthwatch s\u00fcsteem<\/em><\/p>\n

<\/p>\n

Sensori paigaldamine on \u00fcks asi, selle seadistamine on t\u00e4ielikult teine \u00fclesanne. Sensorite seadistamiseks on olemas kompleks, mis t\u00f6\u00f6tab j\u00e4rgmise topoloogia alusel \u2013 ISR = Cisco teenuste integreerimise marsruuter (Cisco Integrated Services Router); ASR = Cisco teenuste agrgatsiooni marsruuter (Cisco Aggregation Services Router); CSR = Cisco pilveteenuste marsruuter (Cisco Cloud Services Router); WLC = Cisco juhtimisseade traadita kohalikus v\u00f5rgus (Cisco Wireless LAN Controller); IE = Cisco t\u00f6\u00f6stuslik Ethernet-l\u00fcliti (Cisco Industrial Ethernet); ASA = Cisco kohandatud turvaseade (Cisco Adaptive Security Appliance); FTD = Cisco Firepower Threat Defense ohutustegevuse lahendus; WSA = veebiliikluse kaitse seade (Web Security Appliance); ISE = identiteedi teenuste mootor (Identity Services Engine)<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nKombineeritud j\u00e4lgimine, arvestades igasuguseid telemeetriate andmeid<\/em><\/p>\n

<\/p>\n

V\u00f5rgu administraatoritel algab ar\u00fctmia eelnevas l\u00f5igus s\u00f5na \u00abCisco\u00bb rohkusest. Selle imelise komplekti hind ei ole v\u00e4ike, kuid sellest ei ole t\u00e4na juttu...<\/p>\n

<\/p>\n

H\u00e4kkeri k\u00e4itumise modelleerimine toimub j\u00e4rgmiselt. Stealthwatch j\u00e4lgib hoolikalt iga seadme tegevust v\u00f5rgus ja suudab luua normaalse k\u00e4itumise mustri. Samuti pakub see lahendus s\u00fcgavat arusaamist tuntud sobimatust k\u00e4itumisest. Selle lahenduse raames kasutatakse umbes 100 erinevat anal\u00fc\u00fcsialgoritmi v\u00f5i heuristilist reeglit, mis k\u00e4sitlevad erinevaid liiklust k\u00e4itumise t\u00fc\u00fcpe, nagu skaneerimine, \u00f5nnetuste signaalide edastamine s\u00f5lmest, paroolir\u00fcnnak, kahtlustatav andme\u00fclekanne, kahtlustatav andmeleke jne. Loetletud turvaintsidendid kuuluvad k\u00f5rge taseme loogiliste h\u00e4irete kategooriasse. M\u00f5ned turvaintsidendid v\u00f5ivad iseenesest esile kutsuda h\u00e4irete signalisatsiooni. Seega on s\u00fcsteem v\u00f5imeline korreleerima arvukaid isoleeritud anomaalseid juhtumeid ja koguma need kokku, et m\u00e4\u00e4rata v\u00f5imalik r\u00fcnnaku t\u00fc\u00fcp ning seostada see konkreetse seadme ja kasutajaga (joonis 2). Edasi saab juhtumit uurida d\u00fcnaamiliselt ja seonduvat telemeetriainet arvesse v\u00f5ttes. See kujundab kontekstuaalset teavet oma parimas vormis. Arstid, kes uurivad patsienti, et m\u00f5ista, mis juhtus, ei vaata s\u00fcmptomeid eraldi. Nad uurivad suurt pilti diagnoosi seadmiseks. Sarnaselt fikseerib Stealthwatch iga anomaalse aktiivsuse v\u00f5rgus ja anal\u00fc\u00fcsib seda kogumina, et saata h\u00e4ireid konteksti arvesse v\u00f5ttes, aidates seel\u00e4bi turvaekspertidel riske prioriseerida.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nAnomaaliate tuvastamine k\u00e4itumise modelleerimise abil<\/em><\/p>\n

<\/p>\n

V\u00f5rgu f\u00fc\u00fcsiline juurutamine n\u00e4eb v\u00e4lja selline:<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nFiliaaliv\u00f5rgu juurutamise variant (lihtsustatud)<\/em><\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nFiliaaliv\u00f5rgu juurutamise variant<\/em><\/p>\n

<\/p>\n

V\u00f5rk on juurutatud, kuid neuronv\u00f5rguga on endiselt avatud k\u00fcsimus. Andmesidev\u00f5rk on organiseeritud, sensorid on kehtestatud piiridele ja teabe kogumise s\u00fcsteem on k\u00e4ivitatud, kuid neuronv\u00f5rk ei ole seni osalenud. Praegu.<\/p>\n

<\/p>\n

Kihiline neuronv\u00f5rk<\/h3>\n

<\/p>\n

S\u00fcsteem anal\u00fc\u00fcsib kasutaja ja seadme k\u00e4itumist pahatahtlike nakkuste, suhtluse k\u00e4skluss\u00fcsteemidega, andmeleketega ning ka potentsiaalselt soovimatute rakenduste tuvastamiseks, mis t\u00f6\u00f6tavad ettev\u00f5tte infrastruktuuris. Andmete t\u00f6\u00f6tlemise mitmed tasandid, kus tehisintellekti, masin\u00f5ppe ja matemaatilise statistika meetodite kombinatsioon aitab v\u00f5rgul iseseisvalt \u00f5ppida oma normaalse aktiivsuse kohta, et see suudaks tuvastada pahatahtlikku aktiivsust.<\/p>\n

<\/p>\n

V\u00f5rgu turbeanal\u00fc\u00fcsi konveier, mis kogub telemeetriaandmeid laienenud v\u00f5rgustiku k\u00f5ikidest osadest, sealhulgas kr\u00fcpteeritud liiklusest, on Stealthwatchi ainulaadne tunnusjoon. See loob j\u00e4rkj\u00e4rgulise arusaama sellest, mis on \"anomaalne\", seej\u00e4rel klassifitseerib tegelikud \u00fcksikobjektid \"\u00e4hvardava aktiivsuse\" osas ning l\u00f5puks teeb l\u00f5pliku otsuse, kas seade v\u00f5i kasutaja on t\u00f5eliselt kompromiteeritud. V\u00f5ime kokku koguda v\u00e4ikesed osad, mis koos moodustavad t\u00f5endi objekti kompromiteerimise l\u00f5pliku otsuse tegemiseks, tagatakse v\u00e4ga p\u00f5hjaliku anal\u00fc\u00fcsi ja korrelatsiooni kaudu.<\/p>\n

<\/p>\n

See v\u00f5ime on \u00e4\u00e4rmiselt oluline, kuna tavaline ettev\u00f5te v\u00f5ib iga p\u00e4ev saada suure hulga h\u00e4iresignaale ning igasuguste juhtumite uurimine pole v\u00f5imalik \u2013 turbeekspertide ressursid on piiratud. Masin\u00f5ppe moodul t\u00f6\u00f6tleb tohutul hulgal teavet praktiliselt reaalajas, et tuvastada kriitiliselt olulisi intsidente k\u00f5rge usaldusv\u00e4\u00e4rsusega ning suudab pakkuda selget tegevuskava kiireks k\u00f5rvaldamiseks.<\/p>\n

<\/p>\n

Vaatame l\u00e4hemalt mitmeid masin\u00f5ppe meetodeid, mida Stealthwatch kasutab. Kui juhtum edastatakse Stealthwatchi masin\u00f5ppe moodulisse, l\u00e4bib see turbeanal\u00fc\u00fcsi tunneli, mille raames kasutatakse nii juhendatud kui ka juhendamata masin\u00f5ppe meetodite kombinatsiooni.<\/p>\n

<\/p>\n

\"Kr\u00fcpteeritud
\nMitmetasandilise masin\u00f5ppe v\u00f5imed<\/em><\/p>\n

<\/p>\n

1. tase. Anomaaliate avastamine ja usaldusmudelite loomine<\/h3>\n

<\/p>\n

Selle taseme puhul filtreeritakse 99% liiklusest v\u00e4lja statistiliste anomaaliate avastajate abil. Need andurid loovad koos keerukaid mudeleid, et m\u00e4\u00e4rata, mis on normaalne ja mis on seevastu anomaalne. Siiski ei ole anomaalne tingimata kahjulik. Paljugi sellest, mis teie v\u00f5rgus toimub, ei seondu \u00e4hvardustega \u2014 see on lihtsalt kummaline. Oluline on klasifitseerida sellised protsessid s\u00f5ltumatult \u00e4hvardavatest k\u00e4itumist\u00fc\u00fcpidest. Seet\u00f5ttu l\u00e4bib selliste andurite t\u00f6\u00f6 tulemused edasist anal\u00fc\u00fcsi, et fikseerida kummaline k\u00e4itumine, mida on v\u00f5imalik p\u00f5hjendada ja millele on v\u00f5imalik usaldusv\u00e4\u00e4rselt toetuda. L\u00f5ppkokkuv\u00f5ttes j\u00f5uab vaid v\u00e4ike osa k\u00f5ige olulisematest voogudest ja p\u00e4ringutest 2. ja 3. tasemele. Ilma selliste masin\u00f5ppe meetodite rakendamiseta oleks signaali ja m\u00fcra eristamise operatiivkulud liiga suured.<\/p>\n

<\/p>\n

Anomaaliate avastamine.<\/strong> Esimeses etapis kasutatakse anomaaliate avastamisel statistilisi masin\u00f5ppe meetodeid, et eristada statistiliselt normaalset liiklust anomaalsest. \u00dcle 70 eraldi anduri t\u00f6\u00f6tlevad Stealthwatch'i kogutud telemeetriandmeid, mis puudutavad teie v\u00f5rgu perimeetri kaudu liikuvat liiklust, eraldades olemasolul sisemised DNS-i liiklusandmed ja vahe-serveri andmed. Iga p\u00e4ring t\u00f6\u00f6deldakse \u00fcle 70 anduri poolt, igal anduril on oma statistiline algoritm, mille kaudu moodustatakse hinnang avastatud anomaaliate kohta. Need hinnangud koondatakse ning mitmete statistiliste meetodite rakendamisel saadakse igale eraldi p\u00e4ringule \u00fchtne hinnang. Seej\u00e4rel kasutatakse seda koondhinnangut normaalse ja anomaalse liikluse eristamiseks.<\/p>\n

<\/p>\n

Usaldusmudel.<\/strong> Seej\u00e4rel grupeeritakse sarnased p\u00e4ringud ja selliste gruppide anomaaliate koguarv hinnatakse pikaajalise keskmise v\u00e4\u00e4rtusena. Aja jooksul anal\u00fc\u00fcsitakse rohkem p\u00e4ringuid, mis alandab vale-positiivsete ja vale-negatiivsete tulemuste tekkimise sagedust. Usaldusv\u00e4\u00e4rsuse modelleerimise tulemusi kasutatakse liiklusallika alamhulga valimiseks, mille anomaaliate hindamine \u00fcletab teatud d\u00fcnaamiliselt m\u00e4\u00e4ratletud piirm\u00e4\u00e4ra, et see t\u00f5sta j\u00e4rgmisele t\u00f6\u00f6tlemise tasemele.<\/p>\n

<\/p>\n

Tase 2. S\u00fcndmuste klassifitseerimine ja objekti modelleerimine<\/h3>\n

<\/p>\n

Selles etapis toimub eelmistelt etappidelt saadud tulemuste klassifitseerimine ja nende seostamine konkreetsete kahjulike s\u00fcndmustega. S\u00fcndmuste klassifitseerimine toimub masin\u00f5ppe klassifikaatorite poolt m\u00e4\u00e4ratud v\u00e4\u00e4rtuse alusel, et tagada pidev t\u00e4psuse m\u00e4\u00e4r \u00fcle 90%. Nende hulka kuuluvad:<\/p>\n

<\/p>\n