स्टील्थवॉच: घटना विश्लेषण और जांच। भाग 3

सिस्को स्टील्थवॉच सूचना सुरक्षा के क्षेत्र में एक विश्लेषणात्मक समाधान है जो वितरित नेटवर्क में खतरों की व्यापक निगरानी प्रदान करता है। स्टील्थवॉच राउटर, स्विच और अन्य नेटवर्क उपकरणों से नेटफ्लो और आईपीएफआईएक्स एकत्र करने पर आधारित है। परिणामस्वरूप, नेटवर्क एक संवेदनशील सेंसर बन जाता है और व्यवस्थापक को उन स्थानों पर नज़र रखने की अनुमति देता है जहां पारंपरिक नेटवर्क सुरक्षा विधियां, जैसे कि नेक्स्ट जेनरेशन फ़ायरवॉल, नहीं पहुंच सकती हैं।

पिछले लेखों में मैंने स्टील्थवॉच के बारे में पहले ही लिखा था: पहला परिचय और अवसरऔर परिनियोजन और विन्यास. अब मैं आगे बढ़ने और चर्चा करने का प्रस्ताव करता हूं कि अलार्म के साथ कैसे काम किया जाए और समाधान द्वारा उत्पन्न होने वाली सुरक्षा घटनाओं की जांच कैसे की जाए। ऐसे 6 उदाहरण होंगे जिनसे मुझे आशा है कि उत्पाद की उपयोगिता का अच्छा अंदाज़ा मिलेगा।

सबसे पहले, यह कहा जाना चाहिए कि स्टील्थवॉच में एल्गोरिदम और फ़ीड के बीच अलार्म का कुछ वितरण होता है। पहले विभिन्न प्रकार के अलार्म (सूचनाएं) हैं, जिनके चालू होने पर आप नेटवर्क पर संदिग्ध चीजों का पता लगा सकते हैं। दूसरी हैं सुरक्षा घटनाएं. यह आलेख ट्रिगर किए गए एल्गोरिदम के 4 उदाहरण और फ़ीड के 2 उदाहरणों पर गौर करेगा।

1. नेटवर्क के भीतर सबसे बड़े इंटरैक्शन का विश्लेषण

स्टील्थवॉच की स्थापना में प्रारंभिक चरण होस्ट और नेटवर्क को समूहों में परिभाषित करना है। वेब इंटरफ़ेस टैब में कॉन्फ़िगर करें > होस्ट समूह प्रबंधन नेटवर्क, होस्ट और सर्वर को उचित समूहों में वर्गीकृत किया जाना चाहिए। आप अपने स्वयं के समूह भी बना सकते हैं. वैसे, सिस्को स्टील्थवॉच में मेजबानों के बीच बातचीत का विश्लेषण करना काफी सुविधाजनक है, क्योंकि आप न केवल स्ट्रीम द्वारा खोज फ़िल्टर सहेज सकते हैं, बल्कि परिणाम भी स्वयं सहेज सकते हैं।

आरंभ करने के लिए, वेब इंटरफ़ेस में आपको टैब पर जाना चाहिए विश्लेषण > प्रवाह खोज. फिर आपको निम्नलिखित पैरामीटर सेट करने चाहिए:

• खोज प्रकार - शीर्ष वार्तालाप (सबसे लोकप्रिय इंटरैक्शन)
• समय सीमा - 24 घंटे (समय अवधि, आप किसी अन्य का उपयोग कर सकते हैं)
• खोज नाम - शीर्ष वार्तालाप अंदर-अंदर (कोई भी अनुकूल नाम)
• विषय - मेजबान समूह → आंतरिक मेजबान (स्रोत - आंतरिक मेजबानों का समूह)
• कनेक्शन (आप पोर्ट, एप्लिकेशन निर्दिष्ट कर सकते हैं)
• पीयर - होस्ट समूह → इनसाइड होस्ट (गंतव्य - आंतरिक नोड्स का समूह)
• उन्नत विकल्पों में, आप अतिरिक्त रूप से उस संग्राहक को निर्दिष्ट कर सकते हैं जिससे डेटा देखा जाता है, आउटपुट को सॉर्ट करते हुए (बाइट्स, स्ट्रीम आदि द्वारा)। मैं इसे डिफ़ॉल्ट के रूप में छोड़ दूँगा।

बटन दबाने के बाद Search इंटरैक्शन की एक सूची प्रदर्शित की जाती है जो पहले से ही स्थानांतरित डेटा की मात्रा के अनुसार क्रमबद्ध होती है।

मेरे उदाहरण में मेज़बान 10.150.1.201 (सर्वर) केवल एक थ्रेड के भीतर प्रसारित होता है 1.5 जीबी होस्ट करने के लिए ट्रैफ़िक 10.150.1.200 (क्लाइंट) प्रोटोकॉल द्वारा MySQL. बटन कॉलम प्रबंधित करें आपको आउटपुट डेटा में अधिक कॉलम जोड़ने की अनुमति देता है।

इसके बाद, व्यवस्थापक के विवेक पर, आप एक कस्टम नियम बना सकते हैं जो हमेशा इस प्रकार की बातचीत को ट्रिगर करेगा और आपको एसएनएमपी, ईमेल या सिसलॉग के माध्यम से सूचित करेगा।

2. विलंब के लिए नेटवर्क के भीतर सबसे धीमे क्लाइंट-सर्वर इंटरैक्शन का विश्लेषण

टैग एसआरटी (सर्वर रिस्पांस टाइम), आरटीटी (राउंड ट्रिप टाइम) आपको सर्वर विलंब और सामान्य नेटवर्क विलंब का पता लगाने की अनुमति देता है। यह टूल विशेष रूप से तब उपयोगी होता है जब आपको धीमी गति से चलने वाले एप्लिकेशन के बारे में उपयोगकर्ता की शिकायतों का तुरंत कारण ढूंढने की आवश्यकता होती है।

नोट: लगभग सभी नेटफ़्लो निर्यातक पता नहीं कैसे एसआरटी, आरटीटी टैग भेजें, इसलिए अक्सर, फ़्लोसेंसर पर ऐसे डेटा को देखने के लिए, आपको नेटवर्क उपकरणों से ट्रैफ़िक की एक प्रति भेजने को कॉन्फ़िगर करने की आवश्यकता होती है। फ़्लोसेंसर बदले में विस्तारित IPFIX को फ़्लोकलेक्टर को भेजता है।

इस विश्लेषण को स्टील्टवॉच जावा एप्लिकेशन में करना अधिक सुविधाजनक है, जो व्यवस्थापक के कंप्यूटर पर स्थापित है।

दायां माउस बटन चालू करें मेजबानों के अंदर और टैब पर जाएं प्रवाह तालिका.

पर क्लिक करें फ़िल्टर और आवश्यक पैरामीटर सेट करें। उदहारण के लिए:

• दिनांक/समय - पिछले 3 दिनों के लिए
• प्रदर्शन - औसत राउंड ट्रिप समय >=50ms

डेटा प्रदर्शित करने के बाद, हमें उन आरटीटी और एसआरटी फ़ील्ड को जोड़ना चाहिए जिनमें हमारी रुचि है। ऐसा करने के लिए, स्क्रीनशॉट में कॉलम पर क्लिक करें और दाएँ माउस बटन से चयन करें कॉलम प्रबंधित करें. इसके बाद, आरटीटी, एसआरटी पैरामीटर पर क्लिक करें।

अनुरोध को संसाधित करने के बाद, मैंने आरटीटी औसत के आधार पर क्रमबद्ध किया और सबसे धीमी बातचीत देखी।

विस्तृत जानकारी में जाने के लिए, स्ट्रीम पर राइट-क्लिक करें और चयन करें प्रवाह के लिए त्वरित दृश्य.

यह जानकारी इंगित करती है कि मेज़बान 10.201.3.59 समूह से बिक्री और विपणन प्रोटोकॉल के अनुसार NFS के आवेदन करो डीएनएस सर्वर एक मिनट और 23 सेकंड के लिए और इसमें बहुत ही भयानक अंतराल है। टैब में इंटरफेस आप पता लगा सकते हैं कि जानकारी किस नेटफ़्लो डेटा निर्यातक से प्राप्त की गई थी। टैब में तालिका बातचीत के बारे में अधिक विस्तृत जानकारी दिखाई गई है।

इसके बाद, आपको यह पता लगाना चाहिए कि कौन से उपकरण फ़्लोसेंसर को ट्रैफ़िक भेजते हैं और समस्या सबसे अधिक संभावना वहीं है।

इसके अलावा, स्टेल्थवॉच संचालन में अद्वितीय है डिडुप्लीकेशन डेटा (समान धाराओं को जोड़ता है)। इसलिए, आप लगभग सभी नेटफ़्लो डिवाइस से एकत्र कर सकते हैं और इस बात से डरें नहीं कि बहुत सारा डुप्लिकेट डेटा होगा। इसके विपरीत, इस योजना में यह समझने में मदद मिलेगी कि किस हॉप में सबसे अधिक देरी है।

3. HTTPS क्रिप्टोग्राफ़िक प्रोटोकॉल का ऑडिट

ईटीए (एन्क्रिप्टेड ट्रैफिक एनालिटिक्स) सिस्को द्वारा विकसित एक तकनीक है जो आपको एन्क्रिप्टेड ट्रैफ़िक में डिक्रिप्ट किए बिना दुर्भावनापूर्ण कनेक्शन का पता लगाने की अनुमति देती है। इसके अलावा, यह तकनीक आपको कनेक्शन के दौरान उपयोग किए जाने वाले टीएलएस संस्करणों और क्रिप्टोग्राफ़िक प्रोटोकॉल में HTTPS को "पार्स" करने की अनुमति देती है। यह कार्यक्षमता विशेष रूप से तब उपयोगी होती है जब आपको कमजोर क्रिप्टो मानकों का उपयोग करने वाले नेटवर्क नोड्स का पता लगाने की आवश्यकता होती है।

नोट: आपको सबसे पहले स्टील्थवॉच पर नेटवर्क ऐप इंस्टॉल करना होगा - ईटीए क्रिप्टोग्राफ़िक ऑडिट.

टैब पर जाएं डैशबोर्ड → ईटीए क्रिप्टोग्राफ़िक ऑडिट और मेजबानों के उस समूह का चयन करें जिसका हम विश्लेषण करने की योजना बना रहे हैं। समग्र चित्र के लिए, आइए चुनें मेजबानों के अंदर.

आप देख सकते हैं कि टीएलएस संस्करण और संबंधित क्रिप्टो मानक आउटपुट हैं। कॉलम में सामान्य योजना के अनुसार क्रियाएँ जाओ प्रवाह देखें और खोज एक नए टैब में प्रारंभ होती है.

आउटपुट से यह देखा जा सकता है कि होस्ट 198.19.20.136 ऊपर 12 घंटे टीएलएस 1.2 के साथ HTTPS का उपयोग किया गया, जहां एन्क्रिप्शन एल्गोरिथ्म एईएस 256 और हैश फ़ंक्शन शा 384. इस प्रकार, ईटीए आपको नेटवर्क पर कमजोर एल्गोरिदम खोजने की अनुमति देता है।

4. नेटवर्क विसंगति विश्लेषण

सिस्को स्टील्थवॉच तीन टूल का उपयोग करके नेटवर्क पर ट्रैफ़िक विसंगतियों को पहचान सकती है: मुख्य घटनाएँ (सुरक्षा घटनाएँ), संबंध घटनाएँ (खंडों, नेटवर्क नोड्स के बीच बातचीत की घटनाएं) और व्यवहारिक विश्लेषण.

व्यवहार विश्लेषण, बदले में, समय के साथ किसी विशेष मेज़बान या मेज़बानों के समूह के लिए एक व्यवहार मॉडल बनाने की अनुमति देता है। जितना अधिक ट्रैफ़िक स्टील्थवॉच से गुज़रेगा, इस विश्लेषण के कारण अलर्ट उतने ही अधिक सटीक होंगे। सबसे पहले, सिस्टम बहुत गलत तरीके से ट्रिगर होता है, इसलिए नियमों को हाथ से "मोड़" दिया जाना चाहिए। मेरा सुझाव है कि आप पहले कुछ हफ्तों तक ऐसी घटनाओं को नजरअंदाज करें, क्योंकि सिस्टम खुद को समायोजित कर लेगा, या उन्हें अपवादों में जोड़ देगा।

नीचे पूर्वनिर्धारित नियम का एक उदाहरण दिया गया है असंगति, जिसमें कहा गया है कि इवेंट बिना अलार्म के चालू हो जाएगा इनसाइड होस्ट्स ग्रुप में एक होस्ट इनसाइड होस्ट्स ग्रुप के साथ इंटरैक्ट करता है और 24 घंटों के भीतर ट्रैफिक 10 मेगाबाइट से अधिक हो जाएगा.

उदाहरण के लिए, आइए एक अलार्म लें डेटा जमाखोरी, जिसका अर्थ है कि किसी स्रोत/गंतव्य होस्ट ने होस्ट के समूह या होस्ट से असामान्य रूप से बड़ी मात्रा में डेटा अपलोड/डाउनलोड किया है। ईवेंट पर क्लिक करें और उस तालिका पर जाएं जहां ट्रिगर करने वाले होस्ट दर्शाए गए हैं। इसके बाद, कॉलम में उस होस्ट का चयन करें जिसमें हमारी रुचि है डेटा जमाखोरी.

एक घटना प्रदर्शित की जाती है जो दर्शाती है कि 162k "अंक" का पता लगाया गया था, और नीति के अनुसार, 100k "अंक" की अनुमति है - ये आंतरिक स्टील्थवॉच मेट्रिक्स हैं। एक कॉलम में क्रियाएँ नाज़िममेम प्रवाह देखें.

हम उसका अवलोकन कर सकते हैं मेजबानी दी गई रात में मेजबान से बातचीत की 10.201.3.47 विभाग से खरीद और बिक्री प्रोटोकॉल के अनुसार HTTPS और डाउनलोड किया 1.4 जीबी. शायद यह उदाहरण पूरी तरह से सफल नहीं है, लेकिन कई सौ गीगाबाइट के लिए भी इंटरैक्शन का पता लगाना बिल्कुल उसी तरह से किया जाता है। इसलिए, विसंगतियों की आगे की जांच से दिलचस्प परिणाम मिल सकते हैं।

नोट: एसएमसी वेब इंटरफ़ेस में, डेटा टैब में है डैशबोर्ड केवल पिछले सप्ताह और टैब में प्रदर्शित होते हैं मॉनिटर पिछले 2 सप्ताह में. पुरानी घटनाओं का विश्लेषण करने और रिपोर्ट तैयार करने के लिए, आपको व्यवस्थापक के कंप्यूटर पर जावा कंसोल के साथ काम करना होगा।

5. आंतरिक नेटवर्क स्कैन ढूँढना

आइए अब फ़ीड - सूचना सुरक्षा घटनाओं के कुछ उदाहरण देखें। यह कार्यक्षमता सुरक्षा पेशेवरों के लिए अधिक रुचिकर है।

स्टील्थवॉच में कई प्रीसेट स्कैन इवेंट प्रकार हैं:

• पोर्ट स्कैन-स्रोत गंतव्य होस्ट पर कई पोर्ट को स्कैन करता है।
• Addr tcp स्कैन - स्रोत पूरे नेटवर्क को एक ही TCP पोर्ट पर स्कैन करता है, गंतव्य IP पता बदलता है। इस स्थिति में, स्रोत को टीसीपी रीसेट पैकेट प्राप्त होते हैं या बिल्कुल भी प्रतिक्रियाएँ प्राप्त नहीं होती हैं।
• Addr udp स्कैन - गंतव्य आईपी पते को बदलते समय स्रोत एक ही यूडीपी पोर्ट पर पूरे नेटवर्क को स्कैन करता है। इस स्थिति में, स्रोत को ICMP पोर्ट अनरीचेबल पैकेट प्राप्त होते हैं या बिल्कुल भी प्रतिक्रियाएँ प्राप्त नहीं होती हैं।
• पिंग स्कैन - स्रोत उत्तर खोजने के लिए पूरे नेटवर्क को ICMP अनुरोध भेजता है।
• स्टील्थ स्कैन tсp/udp - स्रोत ने एक ही समय में गंतव्य नोड पर कई पोर्ट से कनेक्ट करने के लिए एक ही पोर्ट का उपयोग किया।

सभी आंतरिक स्कैनरों को एक साथ ढूंढना अधिक सुविधाजनक बनाने के लिए, एक नेटवर्क ऐप है स्टील्थवॉच - दृश्यता आकलन. टैब पर जा रहे हैं डैशबोर्ड → दृश्यता आकलन → आंतरिक नेटवर्क स्कैनर आप पिछले 2 सप्ताहों से स्कैनिंग-संबंधित सुरक्षा घटनाएं देखेंगे।

बटन पर क्लिक करना विवरण, आप प्रत्येक नेटवर्क की स्कैनिंग की शुरुआत, ट्रैफ़िक रुझान और संबंधित अलार्म देखेंगे।

इसके बाद, आप पिछले स्क्रीनशॉट में टैब से होस्ट में "विफल" हो सकते हैं और सुरक्षा घटनाओं के साथ-साथ इस होस्ट के लिए पिछले सप्ताह की गतिविधि भी देख सकते हैं।

उदाहरण के तौर पर, आइए घटना का विश्लेषण करें पोर्ट स्कैन मेज़बान से 10.201.3.149 पर 10.201.0.72, दबाना क्रियाएँ > संबद्ध प्रवाह. एक थ्रेड खोज लॉन्च की जाती है और प्रासंगिक जानकारी प्रदर्शित की जाती है।

हम इस होस्ट को इसके एक पोर्ट से कैसे देखते हैं 51508/टीसीपी बंदरगाह द्वारा गंतव्य होस्ट को 3 घंटे पहले स्कैन किया गया 22, 28, 42, 41, 36, 40 (टीसीपी). कुछ फ़ील्ड जानकारी प्रदर्शित नहीं करते हैं क्योंकि सभी नेटफ़्लो फ़ील्ड नेटफ़्लो निर्यातक पर समर्थित नहीं हैं।

6. CTA का उपयोग करके डाउनलोड किए गए मैलवेयर का विश्लेषण

सीटीए (संज्ञानात्मक खतरा विश्लेषण) - सिस्को क्लाउड एनालिटिक्स, जो सिस्को स्टेल्थवॉच के साथ पूरी तरह से एकीकृत होता है और आपको हस्ताक्षर विश्लेषण के साथ हस्ताक्षर-मुक्त विश्लेषण को पूरक करने की अनुमति देता है। इससे ट्रोजन, नेटवर्क वर्म्स, जीरो-डे मैलवेयर और अन्य मैलवेयर का पता लगाना और उन्हें नेटवर्क के भीतर वितरित करना संभव हो जाता है। साथ ही, पहले बताई गई ईटीए तकनीक आपको एन्क्रिप्टेड ट्रैफ़िक में ऐसे दुर्भावनापूर्ण संचार का विश्लेषण करने की अनुमति देती है।

वस्तुतः वेब इंटरफ़ेस के पहले टैब पर एक विशेष विजेट है संज्ञानात्मक ख़तरा विश्लेषण. एक संक्षिप्त सारांश उपयोगकर्ता होस्ट पर पाए गए खतरों को इंगित करता है: ट्रोजन, धोखाधड़ी वाले सॉफ़्टवेयर, कष्टप्रद एडवेयर। “एन्क्रिप्टेड” शब्द वास्तव में ETA के कार्य को दर्शाता है। किसी होस्ट पर क्लिक करने पर, उसके बारे में सारी जानकारी, सीटीए लॉग सहित सुरक्षा घटनाएं, दिखाई देती हैं।

सीटीए के प्रत्येक चरण पर मँडराते हुए, ईवेंट इंटरैक्शन के बारे में विस्तृत जानकारी प्रदर्शित करता है। संपूर्ण विश्लेषण के लिए, यहां क्लिक करें घटना विवरण देखें, और आपको एक अलग कंसोल पर ले जाया जाएगा संज्ञानात्मक ख़तरा विश्लेषण.

ऊपरी दाएं कोने में, एक फ़िल्टर आपको गंभीरता स्तर के आधार पर घटनाओं को प्रदर्शित करने की अनुमति देता है। जब आप किसी विशिष्ट विसंगति की ओर इशारा करते हैं, तो लॉग स्क्रीन के नीचे दाईं ओर संबंधित टाइमलाइन के साथ दिखाई देते हैं। इस प्रकार, सूचना सुरक्षा विशेषज्ञ स्पष्ट रूप से समझता है कि कौन सा संक्रमित होस्ट, किस क्रिया के बाद, कौन सी क्रिया करना शुरू कर दिया।

नीचे एक और उदाहरण है - एक बैंकिंग ट्रोजन जिसने मेज़बान को संक्रमित किया 198.19.30.36. इस होस्ट ने दुर्भावनापूर्ण डोमेन के साथ इंटरैक्ट करना शुरू किया, और लॉग इन इंटरैक्शन के प्रवाह पर जानकारी दिखाते हैं।

अगला, सबसे अच्छे समाधानों में से एक यह हो सकता है कि मेज़बान को मूल निवासी के लिए धन्यवाद दिया जाए एकीकरण आगे के उपचार और विश्लेषण के लिए सिस्को आईएसई के साथ।

निष्कर्ष

सिस्को स्टील्थवॉच समाधान नेटवर्क विश्लेषण और सूचना सुरक्षा दोनों के मामले में नेटवर्क निगरानी उत्पादों में अग्रणी है। इसके लिए धन्यवाद, आप नेटवर्क के भीतर अवैध इंटरैक्शन, एप्लिकेशन विलंब, सबसे सक्रिय उपयोगकर्ताओं, विसंगतियों, मैलवेयर और एपीटी का पता लगा सकते हैं। इसके अलावा, आप स्कैनर, पेंटेस्टर ढूंढ सकते हैं और HTTPS ट्रैफ़िक का क्रिप्टो-ऑडिट कर सकते हैं। आप यहां और भी अधिक उपयोग के मामले पा सकते हैं लिंक.

यदि आप यह जांचना चाहते हैं कि आपके नेटवर्क पर सब कुछ कितनी सहजता और कुशलता से काम करता है, तो भेजें प्रार्थना.
निकट भविष्य में, हम विभिन्न सूचना सुरक्षा उत्पादों पर कई और तकनीकी प्रकाशनों की योजना बना रहे हैं। यदि आप इस विषय में रुचि रखते हैं, तो हमारे चैनलों में अपडेट का पालन करें (Telegram, फेसबुक, VK, टीएस समाधान ब्लॉग)!

स्रोत: www.habr.com