{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analyse du trafic chiffr\u00e9 sans le d\u00e9chiffrer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un syst\u00e8me d'analyse du trafic sans d\u00e9cryptage. Cette m\u00e9thode est simplement appel\u00e9e \u00ab apprentissage automatique \u00bb. Il s'est av\u00e9r\u00e9 que si l'on fournit un tr\u00e8s grand volume de trafic divers \u00e0 un classificateur sp\u00e9cial, le syst\u00e8me peut d\u00e9tecter avec une tr\u00e8s haute probabilit\u00e9 les actions de code malveillant \u00e0 l'int\u00e9rieur du trafic chiffr\u00e9.<\/p>\n

<\/p>\n

\"Analyse<\/p>\n

<\/a><\/noindex><\/p>\n

Les menaces r\u00e9seau ont \u00e9volu\u00e9 et sont devenues \u00ab plus intelligentes \u00bb. Au cours de la derni\u00e8re p\u00e9riode, le concept m\u00eame d'attaque et de protection a chang\u00e9. Le nombre d'\u00e9v\u00e9nements dans le r\u00e9seau a augment\u00e9 de mani\u00e8re exponentielle. Les attaques sont devenues plus sophistiqu\u00e9es et les hackers ont un \u00e9ventail d'attaques plus large.<\/p>\n

<\/p>\n

Selon les statistiques de Cisco, les malfaiteurs ont tripl\u00e9 le nombre de programmes malveillants utilis\u00e9s pour leurs activit\u00e9s au cours de la derni\u00e8re ann\u00e9e, en particulier pour le camouflage \u2014 le chiffrement. On sait par la th\u00e9orie qu'un algorithme de chiffrement \u00ab correct \u00bb ne peut pas \u00eatre pirat\u00e9. Pour comprendre ce qui se cache \u00e0 l'int\u00e9rieur du trafic chiffr\u00e9, il faut soit le d\u00e9chiffrer en connaissant la cl\u00e9, soit essayer de le d\u00e9chiffrer par des astuces, soit par un piratage frontal, soit en utilisant certaines vuln\u00e9rabilit\u00e9s dans les protocoles cryptographiques.<\/p>\n

<\/p>\n

\"Analyse
\nLe tableau des menaces r\u00e9seau de notre \u00e9poque<\/em><\/p>\n

<\/p>\n

Apprentissage automatique<\/h3>\n

<\/p>\n

Connaissez la technologie ! Avant de parler de comment fonctionne la technologie de d\u00e9chiffrement bas\u00e9e sur l'apprentissage automatique, il est n\u00e9cessaire d'examiner comment fonctionne la technologie des r\u00e9seaux de neurones.<\/p>\n

<\/p>\n

L'apprentissage automatique (Machine Learning) est une vaste sous-discipline de l'intelligence artificielle qui \u00e9tudie les m\u00e9thodes de construction d'algorithmes capables d'apprendre. Cette science vise \u00e0 cr\u00e9er des mod\u00e8les math\u00e9matiques d'\u00ab apprentissage \u00bb pour l'ordinateur. L'objectif de l'apprentissage est de pr\u00e9dire quelque chose. Dans notre compr\u00e9hension humaine, nous appelons ce processus \u00ab sagesse \u00bb. \u00ab sagesse \u00bb<\/em>La sagesse se manifeste chez les personnes ayant v\u00e9cu suffisamment d'ann\u00e9es (un enfant de 2 ans ne peut pas \u00eatre sage). En demandant conseil \u00e0 des personnes plus \u00e2g\u00e9es, nous leur fournissons une certaine information sur un \u00e9v\u00e9nement (les donn\u00e9es d'entr\u00e9e) et demandons de l'aide. En retour, ils se rem\u00e9morent toutes les situations de leur vie qui sont li\u00e9es \u00e0 votre probl\u00e8me (la base de connaissances) et, sur la base de ces connaissances (donn\u00e9es), ils nous donnent, pour ainsi dire, une pr\u00e9vision (un conseil). Ce type de conseils a \u00e9t\u00e9 appel\u00e9 pr\u00e9diction car la personne qui donne le conseil ne sait pas avec certitude ce qui va se passer, elle ne fait qu'\u00e9mettre une supposition. L'exp\u00e9rience montre qu'une personne peut avoir raison, mais aussi se tromper.<\/p>\n

<\/p>\n

Il ne faut pas comparer les r\u00e9seaux neuronaux \u00e0 un algorithme de branchement (if-else). Ce sont des choses diff\u00e9rentes et il y a des diff\u00e9rences cl\u00e9s entre eux. L'algorithme de branchement a une \"compr\u00e9hension\" claire de ce qu'il faut faire. Je vais le d\u00e9montrer par des exemples.<\/p>\n

<\/p>\n

T\u00e2che. D\u00e9terminer la distance de freinage d'une voiture en fonction de sa marque et de son ann\u00e9e de fabrication.<\/p>\n

<\/p>\n

Exemple de fonctionnement d'un algorithme de branchement. Si la voiture est de marque 1 et a \u00e9t\u00e9 fabriqu\u00e9e en 2012, sa distance de freinage est de 10 m\u00e8tres ; sinon, si la voiture est de marque 2 et a \u00e9t\u00e9 fabriqu\u00e9e en 2011, et ainsi de suite.<\/p>\n

<\/p>\n

Exemple de fonctionnement d'un r\u00e9seau neuronal. Nous rassemblons des donn\u00e9es sur les distances de freinage des voitures au cours des 20 derni\u00e8res ann\u00e9es. En fonction de la marque et de l'ann\u00e9e, nous \u00e9tablissons un tableau du type \u00ab marque-ann\u00e9e de fabrication-distance de freinage \u00bb. Nous fournissons ce tableau au r\u00e9seau neuronal et commen\u00e7ons \u00e0 l'entra\u00eener. L'apprentissage se d\u00e9roule de la mani\u00e8re suivante : nous introduisons des donn\u00e9es dans le r\u00e9seau neuronal, mais sans la distance de freinage. Le r\u00e9seau essaie de pr\u00e9dire quelle sera la distance de freinage, sur la base du tableau charg\u00e9. Il pr\u00e9dit quelque chose et pose la question \u00e0 l'utilisateur : \u00ab Ai-je raison ? \u00bb. Avant cette question, il cr\u00e9e une quatri\u00e8me colonne - la colonne des devinettes. S'il a raison, il inscrit 1 dans la quatri\u00e8me colonne, s'il s'est tromp\u00e9, 0. Le r\u00e9seau neuronal passe \u00e0 l'\u00e9v\u00e9nement suivant (m\u00eame s'il s'est tromp\u00e9). Ainsi, le r\u00e9seau apprend et lorsque l'entra\u00eenement est termin\u00e9 (crit\u00e8re de convergence atteint), nous introduisons les donn\u00e9es de la voiture qui nous int\u00e9resse et obtenons enfin la r\u00e9ponse.<\/p>\n

<\/p>\n

Pour enlever l'ambigu\u00eft\u00e9 concernant le crit\u00e8re de convergence, je vais pr\u00e9ciser qu'il s'agit d'une formule math\u00e9matiquement d\u00e9riv\u00e9e pour la statistique. Un exemple frappant de deux formules de convergence diff\u00e9rentes. Rouge - convergence binaire, bleu - convergence normale.<\/p>\n

<\/p>\n

\"Analyse
\nDistribution binomiale et normale des probabilit\u00e9s<\/em><\/p>\n

<\/p>\n

Pour rendre cela plus clair, posez la question \u00ab Quelle est la probabilit\u00e9 de rencontrer un dinosaure ? \u00bb. Il existe 2 r\u00e9ponses possibles. R\u00e9ponse 1 \u2013 tr\u00e8s faible (courbe bleue). R\u00e9ponse 2 \u2013 soit je rencontre, soit je ne rencontre pas (courbe rouge).<\/p>\n

<\/p>\n

Bien s\u00fbr, un ordinateur n'est pas un humain et il apprend diff\u00e9remment. Il existe 2 types d'apprentissage pour ces machines \u2013 apprentissage par analogies<\/strong> et apprentissage d\u00e9ductif<\/strong>.<\/p>\n

<\/p>\n

L'apprentissage par analogies est une m\u00e9thode d'apprentissage bas\u00e9e sur des lois math\u00e9matiques. Les math\u00e9maticiens compilent des tableaux statistiques, tirent des conclusions et chargent dans le r\u00e9seau de neurones le r\u00e9sultat \u2013 une formule de calcul.<\/p>\n

<\/p>\n

L'apprentissage d\u00e9ductif se fait enti\u00e8rement dans le r\u00e9seau de neurones (de la collecte des donn\u00e9es \u00e0 leur analyse). Ici, un tableau est form\u00e9 sans formule, mais avec des statistiques.<\/p>\n

<\/p>\n

Une vue d'ensemble \u00e9largie de la technologie prendrait encore quelques dizaines d'articles. Pour l'instant, cela suffit pour une compr\u00e9hension g\u00e9n\u00e9rale.<\/p>\n

<\/p>\n

Neuroplasticit\u00e9<\/h3>\n

<\/p>\n

En biologie, il existe un concept \u2013 la neuroplasticit\u00e9. La neuroplasticit\u00e9 est la capacit\u00e9 des neurones (cellules c\u00e9r\u00e9brales) \u00e0 agir \u00ab en fonction de la situation \u00bb. Par exemple, une personne ayant perdu la vue entend mieux les sons, per\u00e7oit les odeurs et ressent les objets. Cela est d\u00fb au fait qu'une partie du cerveau (une partie des neurones) responsable de la vision redistribue son travail \u00e0 d'autres fonctions.<\/p>\n

<\/p>\n

Un exemple frappant de neuroplasticit\u00e9 dans la vie quotidienne est le dispositif BrainPort.<\/p>\n

<\/p>\n

En 2009, l'Universit\u00e9 du Wisconsin \u00e0 Madison a annonc\u00e9 la sortie d'un nouvel appareil d\u00e9veloppant les id\u00e9es du \u00ab dispositif d'affichage linguistique \u00bb \u2013 il a \u00e9t\u00e9 nomm\u00e9 BrainPort. BrainPort fonctionne selon cet algorithme : le signal vid\u00e9o provenant de la cam\u00e9ra est envoy\u00e9 au processeur, qui contr\u00f4le le zoom, la luminosit\u00e9 et d'autres param\u00e8tres de l'image. Il convertit \u00e9galement les signaux num\u00e9riques en impulsions \u00e9lectriques, assumant en fait les fonctions de la r\u00e9tine.<\/p>\n

<\/p>\n

\"Analyse
\nBrainPort avec lunettes et cam\u00e9ra<\/em><\/p>\n

<\/p>\n

\"Analyse
\nBrainPort en action<\/em><\/p>\n

\n

\r\n \"Lire\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Il en va de m\u00eame pour un ordinateur. Si un r\u00e9seau de neurones d\u00e9tecte un changement dans le processus, il s'ajuste en cons\u00e9quence. C'est l\u00e0 le principal avantage des r\u00e9seaux de neurones par rapport \u00e0 d'autres algorithmes \u2013 leur autonomie. Une sorte d'humanit\u00e9.<\/p>\n

<\/p>\n

Analyse du trafic chiffr\u00e9<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics est une partie du syst\u00e8me Stealthwatch. Stealthwatch est une solution de Cisco dans le domaine de la surveillance et de l'analyse de la s\u00e9curit\u00e9, utilisant les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie d'entreprise provenant de l'infrastructure r\u00e9seau existante.<\/p>\n

<\/p>\n

La base de Stealthwatch Enterprise est constitu\u00e9e des outils Flow Rate License, Flow Collector, Management Console et Flow Sensor.<\/p>\n

<\/p>\n

\"Analyse
\nInterface Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Le probl\u00e8me de l'encryption est devenu particuli\u00e8rement aigu car de plus en plus de trafic est d\u00e9sormais chiffr\u00e9. Auparavant, seul le code (principalement) \u00e9tait chiffr\u00e9, tandis qu'aujourd'hui tout le trafic est s\u00e9curis\u00e9, rendant la distinction entre les donn\u00e9es \u00ab propres \u00bb et les virus beaucoup plus complexe. Un exemple marquant est WannaCry, qui a utilis\u00e9 Tor pour masquer sa pr\u00e9sence sur le r\u00e9seau.<\/p>\n

<\/p>\n

\"Analyse
\nVisualisation de l'augmentation du chiffrement du trafic sur le r\u00e9seau<\/em><\/p>\n

<\/p>\n

\"Analyse
\nChiffrement dans la macro\u00e9conomie<\/em><\/p>\n

<\/p>\n

Le syst\u00e8me Encrypted Traffic Analytics (ETA) est justement n\u00e9cessaire pour traiter le trafic chiffr\u00e9 sans le d\u00e9chiffrer. Les cybercriminels sont astucieux et utilisent des algorithmes de chiffrement robustes, et les casser repr\u00e9sente non seulement un d\u00e9fi, mais \u00e9galement des co\u00fbts exorbitants pour les organisations.<\/p>\n

<\/p>\n

Le syst\u00e8me fonctionne comme suit. Un certain trafic arrive dans l'entreprise. Il passe par TLS (transport layer security \u2014 protocole de s\u00e9curit\u00e9 du niveau de transport). Supposons que le trafic soit chiffr\u00e9. Nous essayons de r\u00e9pondre \u00e0 plusieurs questions concernant le type de connexion \u00e9tablie.<\/p>\n

<\/p>\n

\"Analyse
\nPrincipe de fonctionnement du syst\u00e8me Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Pour r\u00e9pondre \u00e0 ces questions, nous utilisons l'apprentissage automatique dans ce syst\u00e8me. Des recherches de Cisco sont prises et sur cette base, un tableau se cr\u00e9e avec 2 r\u00e9sultats \u2013 le trafic malveillant et le trafic \u00ab bon \u00bb. Bien s\u00fbr, nous ne savons pas avec certitude quel type de trafic entre dans le syst\u00e8me \u00e0 un moment donn\u00e9, mais nous pouvons retracer l'historique du trafic \u00e0 la fois au sein de l'entreprise et \u00e0 l'ext\u00e9rieur gr\u00e2ce \u00e0 des donn\u00e9es globales. \u00c0 la sortie de cette \u00e9tape, nous obtenons un grand tableau de donn\u00e9es.<\/p>\n

<\/p>\n

Les r\u00e9sultats de l'\u00e9tude r\u00e9v\u00e8lent des caract\u00e9ristiques distinctes \u2013 des r\u00e8gles sp\u00e9cifiques qui peuvent \u00eatre exprim\u00e9es sous forme math\u00e9matique. Ces r\u00e8gles varieront consid\u00e9rablement selon diff\u00e9rents crit\u00e8res \u2013 la taille des fichiers transf\u00e9r\u00e9s, le type de connexion, le pays d'origine du trafic, etc. En cons\u00e9quence, un tableau \u00e9norme s'est transform\u00e9 en un ensemble de formules. Leur nombre a diminu\u00e9, mais cela reste insuffisant pour un travail confortable.<\/p>\n

<\/p>\n

Ensuite, la technologie d'apprentissage automatique est appliqu\u00e9e \u2013 la convergence de la formule et, en cons\u00e9quence, de la convergence, nous recevons un d\u00e9clencheur \u2013 un interrupteur, o\u00f9 lors de la sortie des donn\u00e9es, nous obtenons un commutateur (flag) en position lev\u00e9e ou abaiss\u00e9e.<\/p>\n

<\/p>\n

L'\u00e9tape finale consiste \u00e0 obtenir un ensemble de d\u00e9clencheurs qui couvrent 99% du trafic.<\/p>\n

<\/p>\n

\"Analyse
\n\u00c9tapes de v\u00e9rification du trafic dans l'ETA<\/em><\/p>\n

<\/p>\n

En cons\u00e9quence, un autre probl\u00e8me est r\u00e9solu \u2013 une attaque de l'int\u00e9rieur. Il n'est plus n\u00e9cessaire d'avoir des personnes \u00e0 mi-chemin qui filtrent le trafic manuellement (en ce moment, je me coule moi-m\u00eame). Premi\u00e8rement, il n'est plus n\u00e9cessaire de d\u00e9penser beaucoup d'argent pour un administrateur syst\u00e8me comp\u00e9tent (je continue \u00e0 me couler). Deuxi\u00e8mement, il n'y a plus de risque de piratage de l'int\u00e9rieur (du moins, partiellement).<\/p>\n

<\/p>\n

\"Analyse
\nConception obsol\u00e8te de Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Maintenant, voyons sur quoi repose le syst\u00e8me.<\/p>\n

<\/p>\n

Le syst\u00e8me fonctionne sur 4 protocoles de communication : TCP\/IP \u2013 protocole de transfert de donn\u00e9es sur Internet, DNS \u2013 serveur de noms de domaine, TLS \u2013 protocole de protection de la couche de transport, SPLT (SpaceWire Physical Layer Tester) \u2013 testeur de la couche physique de communication.<\/p>\n

<\/p>\n

\"Analyse
\nProtocoles fonctionnant avec l'ETA<\/em><\/p>\n

<\/p>\n

La comparaison se fait en associant les donn\u00e9es. Gr\u00e2ce aux protocoles TCP\/IP, nous v\u00e9rifions la r\u00e9putation des sites (historique des visites, objectif de cr\u00e9ation du site, etc.), gr\u00e2ce au protocole DNS, nous pouvons \u00e9liminer les \u00ab mauvais \u00bb adresses de sites. Le protocole TLS travaille avec les \u00ab empreintes \u00bb du site (fingerprint) et v\u00e9rifie le site \u00e0 partir de la base d'une \u00e9quipe de r\u00e9ponse aux urgences informatiques (cert). La derni\u00e8re \u00e9tape de v\u00e9rification de la connexion \u2013 v\u00e9rification au niveau physique. Les d\u00e9tails de cette \u00e9tape ne sont pas sp\u00e9cifi\u00e9s, mais le sens est le suivant : v\u00e9rification des sinuso\u00efdes et cosinuso\u00efdes des courbes de transmission de donn\u00e9es sur des installations oscillographiques, c'est-\u00e0-dire qu'en raison de la structure de la demande au niveau physique, nous d\u00e9terminons l'objectif de la connexion.<\/p>\n

<\/p>\n

\u00c0 la suite du fonctionnement du syst\u00e8me, nous pouvons extraire des donn\u00e9es du trafic chiffr\u00e9. Gr\u00e2ce \u00e0 l'analyse des paquets, nous pouvons lire un maximum d'informations \u00e0 partir des champs non chiffr\u00e9s dans le paquet lui-m\u00eame. En inspectant le paquet au niveau physique, nous d\u00e9couvrons les caract\u00e9ristiques du paquet (partiellement ou totalement). Il ne faut pas oublier la r\u00e9putation des sites. Si la demande provient d'une source .onion, il ne faut pas lui faire confiance. Pour faciliter le travail avec ce type de donn\u00e9es, une carte des risques a \u00e9t\u00e9 cr\u00e9\u00e9e.<\/p>\n

<\/p>\n

\"Analyse
\nR\u00e9sultat du fonctionnement d'ETA<\/em><\/p>\n

<\/p>\n

Tout semblait aller pour le mieux, mais parlons du d\u00e9ploiement du r\u00e9seau.<\/p>\n

<\/p>\n

R\u00e9alisation physique d'ETA<\/h3>\n

<\/p>\n

Ici surgissent plusieurs nuances et subtilit\u00e9s. Premi\u00e8rement, lors de la cr\u00e9ation d'un tel
\nr\u00e9seau avec un logiciel de haut niveau, une collecte de donn\u00e9es est n\u00e9cessaire. Recueillir les donn\u00e9es manuellement est compl\u00e8tement
\nfrustrant, tandis que la mise en place d'un syst\u00e8me de r\u00e9ponse \u2013 c'est d\u00e9j\u00e0 plus int\u00e9ressant. Deuxi\u00e8mement, il doit y avoir beaucoup de donn\u00e9es, ce qui signifie que les capteurs du r\u00e9seau doivent fonctionner
\nnon seulement de mani\u00e8re autonome, mais aussi en mode finement r\u00e9gl\u00e9, ce qui pose plusieurs difficult\u00e9s.
\nCapteurs et syst\u00e8me Stealthwatch<\/p>\n

<\/p>\n

\"Analyse
\nInstaller un capteur \u2013 c'est une chose, mais le configurer \u2013 c'est une t\u00e2che compl\u00e8tement diff\u00e9rente. Pour configurer les capteurs, il existe un ensemble fonctionnant selon la topologie suivante \u2013 ISR = routeur avec int\u00e9gration de services Cisco (Cisco Integrated Services Router); ASR = routeur avec agr\u00e9gation de services Cisco (Cisco Aggregation Services Router); CSR = routeur de services cloud Cisco (Cisco Cloud Services Router); WLC = contr\u00f4leur de r\u00e9seaux locaux sans fil Cisco (Cisco Wireless LAN Controller); IE = commutateur Ethernet industriel Cisco (Cisco Industrial Ethernet); ASA = dispositif de protection adaptatif Cisco (Cisco Adaptive Security Appliance); FTD = solution de protection contre les menaces Cisco Firepower Threat Defense; WSA = dispositif de protection du trafic web (Web Security Appliance); ISE = module de services d'identification (Identity Services Engine)<\/em><\/p>\n

<\/p>\n

Surveillance compl\u00e8te prenant en compte toutes les donn\u00e9es t\u00e9l\u00e9m\u00e9triques<\/p>\n

<\/p>\n

\"Analyse
\nLes administrateurs r\u00e9seau ressentent une arythmie \u00e0 cause du nombre de mots \u00ab Cisco \u00bb dans le paragraphe pr\u00e9c\u00e9dent. Le prix de ce miracle est assez \u00e9lev\u00e9, mais ce n'est pas le sujet d'aujourd'hui\u2026<\/em><\/p>\n

<\/p>\n

Le prix de ce miracle est assez \u00e9lev\u00e9, mais ce n'est pas le sujet d'aujourd'hui\u2026<\/p>\n

<\/p>\n

La mod\u00e9lisation du comportement du hacker se d\u00e9roulera comme suit. Stealthwatch suit de pr\u00e8s l'activit\u00e9 de chaque appareil sur le r\u00e9seau et est capable de cr\u00e9er un mod\u00e8le de comportement normal. De plus, cette solution offre une compr\u00e9hension approfondie des comportements inappropri\u00e9s connus. Dans le cadre de cette solution, environ 100 algorithmes d'analyse ou r\u00e8gles heuristiques sont utilis\u00e9s, concernant diff\u00e9rents types de comportements du trafic, tels que l'exploration, la transmission de trames d'alerte \u00e0 partir d'un n\u0153ud, la tentative de connexion par bruteforce, la capture pr\u00e9sum\u00e9e de donn\u00e9es, la fuite pr\u00e9sum\u00e9e de donn\u00e9es, etc. Les \u00e9v\u00e9nements de s\u00e9curit\u00e9 \u00e9num\u00e9r\u00e9s tombent sous la cat\u00e9gorie des alertes logiques de haut niveau. Certains \u00e9v\u00e9nements de s\u00e9curit\u00e9 peuvent \u00e9galement d\u00e9clencher une alarme \u00e0 eux seuls. Ainsi, le syst\u00e8me est capable de corr\u00e9ler de nombreux incidents anormaux isol\u00e9s et de les rassembler afin de d\u00e9terminer le type possible d'attaque, ainsi que de l'associer \u00e0 un appareil et un utilisateur sp\u00e9cifiques (figure 2). L'incident peut ensuite \u00eatre examin\u00e9 dans la dynamique et en tenant compte des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie associ\u00e9es. Cela constitue l'information contextuelle \u00e0 son meilleur. Les m\u00e9decins, lorsqu'ils examinent un patient pour comprendre ce qui s'est pass\u00e9, ne consid\u00e8rent pas les sympt\u00f4mes de mani\u00e8re isol\u00e9e. Ils examinent l'image dans son ensemble pour \u00e9tablir un diagnostic. De mani\u00e8re similaire, Stealthwatch enregistre chaque activit\u00e9 anormale sur le r\u00e9seau et l'\u00e9tudie dans un ensemble pour envoyer des alertes en tenant compte du contexte, aidant ainsi les sp\u00e9cialistes de la s\u00e9curit\u00e9 \u00e0 \u00e9tablir des priorit\u00e9s pour les risques.<\/p>\n

<\/p>\n

\"Analyse
\nD\u00e9tection des anomalies par mod\u00e9lisation du comportement<\/em><\/p>\n

<\/p>\n

Le d\u00e9ploiement physique du r\u00e9seau se pr\u00e9sente comme suit :<\/p>\n

<\/p>\n

\"Analyse
\nOption de d\u00e9ploiement d'un r\u00e9seau de succursale (simplifi\u00e9)<\/em><\/p>\n

<\/p>\n

\"Analyse
\nOption de d\u00e9ploiement d'un r\u00e9seau de succursale<\/em><\/p>\n

<\/p>\n

Le r\u00e9seau est d\u00e9ploy\u00e9, mais une question subsiste concernant le r\u00e9seau neuronal. Un r\u00e9seau de transmission de donn\u00e9es a \u00e9t\u00e9 organis\u00e9, des capteurs ont \u00e9t\u00e9 install\u00e9s sur les seuils, et le syst\u00e8me de collecte d'informations a \u00e9t\u00e9 lanc\u00e9, mais le r\u00e9seau neuronal n'a pas encore pris part. Pour l'instant.<\/p>\n

<\/p>\n

R\u00e9seau neuronal multicouche<\/h3>\n

<\/p>\n

Le syst\u00e8me analyse le comportement des utilisateurs et des appareils pour d\u00e9tecter les infections malveillantes, les communications avec des serveurs de commande, les fuites de donn\u00e9es, ainsi que les applications potentiellement ind\u00e9sirables fonctionnant dans l'infrastructure de l'organisation. Il existe plusieurs niveaux de traitement des donn\u00e9es, o\u00f9 une combinaison de m\u00e9thodes d'intelligence artificielle, d'apprentissage automatique et de statistiques math\u00e9matiques aide le r\u00e9seau \u00e0 apprendre de mani\u00e8re autonome son activit\u00e9 normale, afin de pouvoir identifier l'activit\u00e9 malveillante.<\/p>\n

<\/p>\n

Le pipeline d'analyse de la s\u00e9curit\u00e9 du r\u00e9seau, qui collecte des donn\u00e9es de t\u00e9l\u00e9m\u00e9trie de toutes les parties du r\u00e9seau \u00e9tendu, y compris le trafic chiffr\u00e9, est une caract\u00e9ristique unique de Stealthwatch. Il construit progressivement une compr\u00e9hension de ce qui est \u00ab anormal \u00bb, puis classe les \u00e9l\u00e9ments individuels de \u00ab l'activit\u00e9 mena\u00e7ante \u00bb et enfin rend une d\u00e9cision finale quant \u00e0 savoir si l'appareil ou l'utilisateur a r\u00e9ellement \u00e9t\u00e9 compromis. La capacit\u00e9 \u00e0 rassembler de petites pi\u00e8ces, constituant ensemble une preuve pour prendre une d\u00e9cision finale sur la compromission d'un objet, se fait gr\u00e2ce \u00e0 une analyse et une corr\u00e9lation tr\u00e8s minutieuses.<\/p>\n

<\/p>\n

Cette capacit\u00e9 est cruciale, car une entreprise standard peut recevoir un grand nombre d'alertes chaque jour, et il est impossible d'enqu\u00eater sur chacune d'entre elles \u2014 les ressources des sp\u00e9cialistes de la s\u00e9curit\u00e9 sont limit\u00e9es. Le module d'apprentissage automatique traite une \u00e9norme quantit\u00e9 d'informations presque en temps r\u00e9el pour identifier des incidents critiques avec un niveau de confiance \u00e9lev\u00e9, et est \u00e9galement capable de proposer un ordre d'action clair pour une r\u00e9solution rapide.<\/p>\n

<\/p>\n

Explorons plus en d\u00e9tail les nombreuses m\u00e9thodes d'apprentissage automatique utilis\u00e9es par Stealthwatch. Lorsqu'un incident est transmis au module d'apprentissage automatique de Stealthwatch, il traverse un entonnoir d'analyse de s\u00e9curit\u00e9, au sein duquel une combinaison de m\u00e9thodes d'apprentissage supervis\u00e9 et non supervis\u00e9 est utilis\u00e9e.<\/p>\n

<\/p>\n

\"Analyse
\nCapacit\u00e9s d'apprentissage automatique multi-niveaux<\/em><\/p>\n

<\/p>\n

Niveau 1. D\u00e9tection des anomalies et mod\u00e9lisation de la confiance<\/h3>\n

<\/p>\n

\u00c0 ce niveau, 99 % du trafic est rejet\u00e9 gr\u00e2ce \u00e0 des d\u00e9tecteurs d'anomalies statistiques. Ces capteurs forment ensemble des mod\u00e8les complexes de ce qui est normal et de ce qui est anormal. Cependant, l'anormal n'est pas n\u00e9cessairement malveillant. Beaucoup de ce qui se passe dans votre r\u00e9seau n'est pas li\u00e9 \u00e0 une menace \u2014 c'est juste \u00e9trange. Il est donc important de classer de tels processus ind\u00e9pendamment des comportements mena\u00e7ants. Pour cette raison, les r\u00e9sultats de ces d\u00e9tecteurs font l'objet d'une analyse plus approfondie afin de cerner les comportements \u00e9tranges qui peuvent \u00eatre expliqu\u00e9s et auxquels on peut faire confiance. En fin de compte, seule une petite fraction des flux et requ\u00eates les plus importants passent aux niveaux 2 et 3. Sans ces m\u00e9thodes d'apprentissage automatique, les co\u00fbts op\u00e9rationnels pour s\u00e9parer le signal du bruit seraient trop \u00e9lev\u00e9s.<\/p>\n

<\/p>\n

D\u00e9tection des anomalies.<\/strong> Au premier stade de la d\u00e9tection des anomalies, des m\u00e9thodes statistiques d'apprentissage automatique sont utilis\u00e9es pour s\u00e9parer le trafic statistiquement normal du trafic anormal. Plus de 70 d\u00e9tecteurs distincts traitent les donn\u00e9es de t\u00e9l\u00e9m\u00e9trie collect\u00e9es par Stealthwatch sur le trafic qui passe par le p\u00e9rim\u00e8tre de votre r\u00e9seau, s\u00e9parant le trafic interne du syst\u00e8me de noms de domaine (DNS) et les donn\u00e9es du serveur proxy, le cas \u00e9ch\u00e9ant. Chaque requ\u00eate est trait\u00e9e par plus de 70 d\u00e9tecteurs, chacun utilisant son propre algorithme statistique pour \u00e9valuer les anomalies d\u00e9tect\u00e9es. Ces \u00e9valuations sont combin\u00e9es, et gr\u00e2ce \u00e0 l'application de plusieurs m\u00e9thodes statistiques, une \u00e9valuation unique est produite pour chaque requ\u00eate individuelle. Ensuite, cette \u00e9valuation collective est utilis\u00e9e pour s\u00e9parer le trafic normal du trafic anormal.<\/p>\n

<\/p>\n

Mod\u00e9lisation de la confiance.<\/strong> Les requ\u00eates similaires sont ensuite regroup\u00e9es, et l'\u00e9valuation cumulative des anomalies pour ces groupes est d\u00e9termin\u00e9e comme \u00e9tant la moyenne \u00e0 long terme. Au fil du temps, un plus grand nombre de requ\u00eates sont soumises \u00e0 l'analyse et \u00e0 la d\u00e9termination de la moyenne \u00e0 long terme, ce qui permet de r\u00e9duire les alertes faussement positives et faussement n\u00e9gatives. Les r\u00e9sultats de la mod\u00e9lisation de confiance sont utilis\u00e9s pour s\u00e9lectionner un sous-ensemble de trafic dont l'\u00e9valuation des anomalies d\u00e9passe un certain seuil dynamique d\u00e9termin\u00e9, afin de le d\u00e9placer vers le niveau suivant de traitement.<\/p>\n

<\/p>\n

Niveau 2. Classification des \u00e9v\u00e9nements et mod\u00e9lisation de l'objet<\/h3>\n

<\/p>\n

\u00c0 ce niveau, les r\u00e9sultats obtenus lors des \u00e9tapes pr\u00e9c\u00e9dentes sont class\u00e9s, en attribuant des \u00e9v\u00e9nements malveillants sp\u00e9cifiques. La classification des \u00e9v\u00e9nements est effectu\u00e9e selon la valeur attribu\u00e9e par les classificateurs d'apprentissage automatique, afin de garantir un taux de pr\u00e9cision constant sup\u00e9rieur \u00e0 90 %. Parmi eux, on trouve :<\/p>\n

<\/p>\n