{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analiza \u0161ifriranog prometa bez njegove de\u0161ifriranja","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sustav za analizu prometa bez njegovog de\u0161ifriranja. Ova metoda se jednostavno naziva \u201ema\u0161insko u\u010denje\u201c. Ispostavilo se da, ako se na ulaz posebnom klasifikatoru po\u0161alje vrlo velika koli\u010dina razli\u010ditog prometa, sustav s vrlo visokom vjerojatno\u0161\u0107u mo\u017ee detektirati radnje zlonamjernog koda unutar \u0161ifriranog prometa.<\/p>\n

<\/p>\n

\"Analiza<\/p>\n

<\/a><\/noindex><\/p>\n

Mre\u017ene prijetnje su se promijenile i postale \u00abpametnije\u00bb. U posljednje vrijeme promijenila se sama koncepcija napada i za\u0161tite. Broj doga\u0111aja u mre\u017ei je vi\u0161estruko pove\u0107an. Napadi su postali sofisticiraniji, a hakeri su dobili \u0161iri opseg napada.<\/p>\n

<\/p>\n

Prema statistikama Cisco-a, zlo\u010dinci su u pro\u0161loj godini pove\u0107ali broj zlonamjernih programa koje koriste za svoje djelovanje, a to\u010dnije za njegovo prikrivanje \u2014 \u0161ifriranje, triput. Iz teorije je poznato da se \u201eispravan\u201c algoritam \u0161ifriranja ne mo\u017ee provaliti. Da biste razumjeli \u0161to se skriva unutar \u0161ifriranog prometa, potrebno je ili de\u0161ifrirati ga poznavaju\u0107i klju\u010d, ili poku\u0161ati de\u0161ifrirati raznim trikovima, ili provaliti direktno, ili iskoristiti neke ranjivosti u kriptografskim protokolima.<\/p>\n

<\/p>\n

\"Analiza
\nSlika mre\u017enih prijetnji na\u0161eg vremena<\/em><\/p>\n

<\/p>\n

Strojno u\u010denje<\/h3>\n

<\/p>\n

Poznaj tehnologiju licem u lice! Prije nego \u0161to razgovaramo o tome kako sama tehnologija de\u0161ifriranja temelji se na ma\u0161inskom u\u010denju, potrebno je razjasniti kako zapravo funkcionira tehnologija neuronskih mre\u017ea.<\/p>\n

<\/p>\n

Ma\u0161insko u\u010denje (Machine Learning) \u2014 opse\u017ena podgrupa umjetne inteligencije koja prou\u010dava metode izrade algoritama sposobnih u\u010diti. Ova znanost usmjerena je na stvaranje matemati\u010dkih modela \u201eu\u010denja\u201c ra\u010dunala. Cilj u\u010denja je predvi\u0111anje ne\u010dega. U ljudskom razumijevanju nazivamo ovaj proces rije\u010dju \u201emudrost\u201c<\/em>. Mudrost se manifestira kod ljudi koji su pro\u017eivjeli dovoljno godina (dijete od 2 godine ne mo\u017ee biti mudro). Kada tra\u017eimo savjet od starijih prijatelja, dajemo im neku informaciju o doga\u0111aju (ulazni podaci) i molimo ih za pomo\u0107. Oni se, pak, prisje\u0107aju svih situacija iz svog \u017eivota koje su nekako povezane s va\u0161im problemom (baza znanja) i na osnovu tih znanja (podataka) daju nam, svojevrsno, predvi\u0111anje (savjet). Ovaj tip savjeta naziva se predvi\u0111anjem jer osoba koja daje savjet ne zna sa sigurno\u0161\u0107u \u0161to \u0107e se dogoditi, ve\u0107 samo pretpostavlja. \u017divotno iskustvo pokazuje da osoba mo\u017ee biti u pravu, a mo\u017ee i pogrije\u0161iti.<\/p>\n

<\/p>\n

Ne treba uspore\u0111ivati neuronske mre\u017ee s grananjem algoritma (if-else). To su razli\u010dite stvari i postoje klju\u010dne razlike me\u0111u njima. Grananje algoritma ima jasno \"razumijevanje\" \u0161to u\u010diniti. Poka\u017eem na primjerima.<\/p>\n

<\/p>\n

Zadatak. Odrediti zaustavni put automobila prema marki i godini proizvodnje.<\/p>\n

<\/p>\n

Primjer rada algoritma grananja. Ako je automobil marke 1 i proizveden 2012. godine \u2013 njegov zaustavni put iznosi 10 metara, ina\u010de, ako je automobil marke 2 i proizveden 2011. godine i tako dalje.<\/p>\n

<\/p>\n

Primjer rada neuronske mre\u017ee. Prikupljamo podatke o zaustavnim putovima automobila tijekom posljednjih 20 godina. Prema marki i godini sastavljamo tablicu oblika \"marka-godina proizvodnje-zaustavni put\". Predajemo tu tablicu neuronskoj mre\u017ei i po\u010dinjemo je u\u010diti. U\u010denje se odvija na sljede\u0107i na\u010din: unosimo podatke u neuronsku mre\u017eu, ali bez zaustavnog puta. Mre\u017ea poku\u0161ava predvidjeti koji \u0107e biti zaustavni put, na temelju u\u010ditane tablice. Predvi\u0111a ne\u0161to i postavlja pitanje korisniku \"Jesam li u pravu?\". Prije pitanja stvara \u010detvrtu kolonu \u2013 kolonu pogodaka. Ako je u pravu \u2013 upisuje 1 u \u010detvrtoj koloni, ako je pogrije\u0161ila \u2013 0. Neuronska mre\u017ea prelazi na sljede\u0107i doga\u0111aj (\u010dak i ako je pogrije\u0161ila). Tako mre\u017ea u\u010di, a kada je u\u010denje zavr\u0161eno (postignut je odre\u0111eni kriterij konvergencije), unosimo podatke o automobilu koji nas zanima i kona\u010dno dobivamo odgovor.<\/p>\n

<\/p>\n

Da razjasnim pitanje o kriteriju konvergencije, poja\u0161njavam da je to matemati\u010dki izvodena formula za statistiku. Osvje\u017eavaju\u0107i primjer 2 razli\u010dite formule konvergencije. Crvena \u2013 binarna konvergencija, plava \u2013 normalna konvergencija.<\/p>\n

<\/p>\n

\"Analiza
\nBoljna i normalna raspodjela vjerojatnosti<\/em><\/p>\n

<\/p>\n

Da bi bilo jasnije, postavite pitanje: \u201eKoja je vjerojatnost susreta s dinosaurima?\u201c. Postoje 2 opcije odgovora. Opcija 1 \u2013 vrlo mala (plava krivulja). Opcija 2 \u2013 ili \u0107u se susresti ili ne (crvena krivulja).<\/p>\n

<\/p>\n

Naravno, ra\u010dunalni sustav nije \u010dovjek i u\u010di na druga\u010diji na\u010din. Postoje 2 vrste u\u010denja za '\u017eeljeznog konja' \u2013 u\u010denje po presedanima<\/strong> i deduktivno u\u010denje<\/strong>.<\/p>\n

<\/p>\n

U\u010denje po presedanima \u2013 to je na\u010din u\u010denja prema matemati\u010dkim zakonima. Matemati\u010dari prikupljaju statisti\u010dke tablice, donose zaklju\u010dke i u\u010ditavaju rezultat u neuronsku mre\u017eu \u2013 formulu za izra\u010dun.<\/p>\n

<\/p>\n

Deduktivno u\u010denje \u2013 u\u010denje se odvija isklju\u010divo unutar neuronske mre\u017ee (od prikupljanja podataka do njihove analize). Tu se formira tablica bez formule, ali sa statistikama.<\/p>\n

<\/p>\n

\u0160iroki pregled tehnologije zahtijevao bi jo\u0161 nekoliko desetaka \u010dlanaka. Trenutno nam je ovo dovoljno za op\u0107e razumijevanje.<\/p>\n

<\/p>\n

Neuroplasti\u010dnost<\/h3>\n

<\/p>\n

U biologiji postoji pojam \u2013 neuroplasti\u010dnost. Neuroplasti\u010dnost je sposobnost neurona (stanica mozga) da djeluju \u201eprema situaciji\u201c. Na primjer, osoba koja je izgubila vid bolje \u010duje zvukove, osje\u0107a mirise i opa\u017ea predmete. To se doga\u0111a jer dio mozga (dio neurona) koji je odgovoran za vid redistribuira svoj rad na drugu funkcionalnost.<\/p>\n

<\/p>\n

Jasni primjer neuroplasti\u010dnosti u \u017eivotu \u2013 BrainPort lizalica.<\/p>\n

<\/p>\n

Godine 2009. Sveu\u010dili\u0161te Wisconsin u Madisonu objavilo je izlazak novog ure\u0111aja, razvijaju\u0107i ideje \u2018jezi\u010dnog zaslona\u2019 \u2013 nazvanog BrainPort. BrainPort funkcionira prema sljede\u0107em algoritmu: video signal dolazi od kamere do procesora koji upravlja zumiranjem, svjetlinom i drugim parametrima slike. Tako\u0111er pretvara digitalne signale u elektri\u010dne impulse, zapravo preuzimaju\u0107i funkciju mre\u017enice.<\/p>\n

<\/p>\n

\"Analiza
\nBrainPort lizalica s nao\u010dalama i kamerom<\/em><\/p>\n

<\/p>\n

\"Analiza
\nBrainPort u radu<\/em><\/p>\n

\n

\r\n \"Pogledajte\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Isto vrijedi i za ra\u010dunalne sustave. Ako neuronska mre\u017ea osjeti promjenu u procesu, prilago\u0111ava se. To je klju\u010dna prednost neuronskih mre\u017ea u usporedbi s drugim algoritmima \u2013 autonomnost. Na neki na\u010din, ljudskost.<\/p>\n

<\/p>\n

Analitika enkriptiranog prometa<\/h3>\n

<\/p>\n

Analitika Encrypted Traffic dio je sustava Stealthwatch. Stealthwatch je razvoj tvrtke Cisco u podru\u010dju rje\u0161enja za nadzor i analitiku sigurnosti, koje koristi korporativne podatke telemetrije iz postoje\u0107e mre\u017ene infrastrukture.<\/p>\n

<\/p>\n

Temelji Stealthwatch Enterprise \u010dine alati Flow Rate License, Flow Collector, Management Console i Flow Sensor.<\/p>\n

<\/p>\n

\"Analiza
\nSu\u010delje Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Problematika \u0161ifriranja postala je vrlo ozbiljna zbog znatnog pove\u0107anja \u0161ifriranog prometa. Nekada je \u0161ifriran uglavnom samo kod, dok se sada \u0161ifrira sav promet, \u0161to zna\u010dajno ote\u017eava razlikovanje '\u010distih' podataka od virusa. Jasni primjer je WannaCry, koji je koristio Tor za prikrivanje svog prisustva u mre\u017ei.<\/p>\n

<\/p>\n

\"Analiza
\nVizualizacija rasta broja \u0161ifriranja prometa u mre\u017ei<\/em><\/p>\n

<\/p>\n

\"Analiza
\n\u0160ifriranje u makroekonomiji<\/em><\/p>\n

<\/p>\n

Sustav Encrypted Traffic Analytics (ETA) nu\u017ean je za rad s \u0161ifriranim prometom bez potrebe za njegovim de\u0161ifriranjem. Napada\u010di su pametni i koriste kriptopodstavljene algoritme \u0161ifriranja, a njihovo provaljivanje je ne samo problem, ve\u0107 i izuzetno skupi tro\u0161ak za organizacije.<\/p>\n

<\/p>\n

Sustav radi na sljede\u0107i na\u010din. U tvrtku dolazi odre\u0111eni promet. On ulazi u TLS (transport layer security \u2014 protokol za\u0161tite transportnog sloja). Pretpostavimo da je promet \u0161ifriran. Poku\u0161avamo odgovoriti na niz pitanja o tome kakva je veza uspostavljena.<\/p>\n

<\/p>\n

\"Analiza
\nPrincip rada sustava Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Da bismo odgovorili na ta pitanja, koristimo strojno u\u010denje u ovom sustavu. Analiziraju se studije tvrtke Cisco, prema kojima se stvara tablica s 2 rezultanta \u2013 zlonamjernim i 'dobrim' prometom. Naravno, ne mo\u017eemo sa sigurno\u0161\u0107u znati koji je promet trenutno u\u0161ao u sustav, ali mo\u017eemo pratiti povijest prometa unutar i izvan tvrtke koriste\u0107i podatke s globalne arene. Na izlazu iz ove faze, dobivamo ogromnu tablicu podataka.<\/p>\n

<\/p>\n

Na temelju istra\u017eivanja utvr\u0111uju se karakteristi\u010dne osobine \u2013 odre\u0111ena pravila koja se mogu zapisati u matemati\u010dkom obliku. Ta \u0107e pravila vrlo sna\u017eno varirati prema razli\u010ditim kriterijima \u2013 veli\u010dini prenesenih datoteka, vrsti veze, zemlji iz koje dolazi taj promet itd. Kao rezultat rada, ogromna tablica pretvorena je u skup raznih formula. Broj formula se smanjio, ali to nije dovoljno za ugodan rad.<\/p>\n

<\/p>\n

Nakon toga primjenjuje se tehnologija strojnog u\u010denja \u2013 konvergencija formule, a kao rezultat konvergencije dobivamo okida\u010d \u2013 prekida\u010d, gdje prilikom izlaza podataka dobivamo prekida\u010d (zastavicu) u podignutom ili spu\u0161tenom polo\u017eaju.<\/p>\n

<\/p>\n

Rezultantna faza \u2013 dobivanje skupa okida\u010da koji su pokrili 99% prometa.<\/p>\n

<\/p>\n

\"Analiza
\nFaze provjere prometa u ETA<\/em><\/p>\n

<\/p>\n

Kao rezultat rada rje\u0161ava se jo\u0161 jedan problem \u2013 napad iznutra. Vi\u0161e nisu potrebni ljudi posrednici koji ru\u010dno filtriraju promet (u ovom trenutku gubim sebe). Prvo, vi\u0161e nije potrebno tro\u0161iti puno novca na sposobnog sistemskog administratora (nastavljam gubiti sebe). Drugo, ne postoji opasnost od provale iznutra (barem djelomi\u010dno).<\/p>\n

<\/p>\n

\"Analiza
\nZastarela koncepta Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Sada, razjasnimo na \u010demu se sustav temelji.<\/p>\n

<\/p>\n

Sustav radi na 4 komunikacijska protokola: TCP\/IP \u2013 protokol prijenosa podataka na internetu, DNS \u2013 servis za domenske nazive, TLS \u2013 protokol za\u0161tite transportnog sloja, SPLT (SpaceWire Physical Layer Tester) \u2013 tester fizi\u010dkog sloja komunikacije.<\/p>\n

<\/p>\n

\"Analiza
\nProtokoli koji rade s ETA<\/em><\/p>\n

<\/p>\n

Usporedba se vr\u0161i kroz uskla\u0111ivanje podataka. Prema protokolu TCP\/IP provjerava se reputacija stranica (povijest posje\u0107ivanja, svrha kreiranja stranice itd.), zahvaljuju\u0107i DNS protokolu, mo\u017eemo odbaciti 'lo\u0161e' adrese stranica. Protokol TLS radi s 'otiscima' stranica (fingerprint) i provjerava stranicu u bazi ra\u010dunalne grupe za reagiranje na izvanredne situacije (cert). Posljednja faza provjere veze \u2013 provjera na fizi\u010dkom nivou. Detalji rada ove faze se ne navode, ali smisao se sastoji u sljede\u0107em: provjera sinusoidnih i kosinusoidnih krivulja prijenosa podataka na oscilografskim postavkama, tj. zahvaljuju\u0107i strukturi upita na fizi\u010dkom nivou, odre\u0111ujemo cilj veze.<\/p>\n

<\/p>\n

Kao rezultat rada sustava, mo\u017eemo dobiti podatke iz \u0161ifriranog prometa. Istra\u017eivanjem paketa, mo\u017eemo pro\u010ditati maksimum informacija iz ne\u0161ifriranih polja unutar paketa. Kori\u0161tenjem inspekcije paketa na fizi\u010dkoj razini, saznajemo karakteristike paketa (djelomi\u010dno ili potpuno). Tako\u0111er, ne smijemo zaboraviti na reputaciju web stranica. Ako je zahtjev stigao iz nekog .onion izvora, ne bi mu se trebalo vjerovati. Za lak\u0161i rad s ovakvim podacima, izra\u0111ena je karta rizika.<\/p>\n

<\/p>\n

\"Analiza
\nRezultat rada ETA<\/em><\/p>\n

<\/p>\n

I sve, \u010dinilo se dobro, ali razgovarajmo o razmje\u0161tanju mre\u017ee.<\/p>\n

<\/p>\n

Fizi\u010dka realizacija ETA<\/h3>\n

<\/p>\n

Ovdje se javlja niz nijansi i suptilnosti. Prvo, pri stvaranju ovakve
\nmre\u017ee s visoko razine softvera, potrebna je prikupljanje podataka. Ru\u010dno prikupljanje podataka je posve
\nneprakti\u010dno, a implementirati sustav za odgovaranje \u2013 ve\u0107 je zanimljivije. Drugim rije\u010dima, podataka
\nmora biti puno, \u0161to zna\u010di da moraju raditi instalirani senzori mre\u017ee
\nne samo autonomno, ve\u0107 i u precizno pode\u0161enom re\u017eimu, \u0161to donosi niz slo\u017eenosti.<\/p>\n

<\/p>\n

\"Analiza
\nSenzori i sustav Stealthwatch<\/em><\/p>\n

<\/p>\n

Postaviti senzor \u2013 jedno je, a pode\u0161avanje istog \u2013 potpuno druga\u010diji zadatak. Za pode\u0161avanje senzora, postoji kompleks koji radi prema sljede\u0107oj topologiji \u2013 ISR = usmjeriva\u010d s integracijom usluga Cisco (Cisco Integrated Services Router); ASR = usmjeriva\u010d s agregacijom usluga Cisco (Cisco Aggregation Services Router); CSR = usmjeriva\u010d usluga u oblaku Cisco (Cisco Cloud Services Router); WLC = kontroler be\u017ei\u010dnih lokalnih mre\u017ea Cisco (Cisco Wireless LAN Controller); IE = industrijski Ethernet switch Cisco (Cisco Industrial Ethernet); ASA = ure\u0111aj za prilagodljivu za\u0161titu Cisco (Cisco Adaptive Security Appliance); FTD = rje\u0161enje za za\u0161titu od prijetnji Cisco Firepower Threat Defense; WSA = ure\u0111aj za za\u0161titu web prometa (Web Security Appliance); ISE = modul usluga identifikacije (Identity Services Engine)<\/p>\n

<\/p>\n

\"Analiza
\nSveobuhvatan nadzor uzimaju\u0107i u obzir sve telemetrijske podatke<\/em><\/p>\n

<\/p>\n

Mre\u017eni administratori osje\u0107aju aritmiju od broja rije\u010di \u201cCisco\u201d u prethodnom odlomku. Cijena ovog \u010duda nije mala, ali o tome danas\u2026<\/p>\n

<\/p>\n

Modeliranje pona\u0161anja hakera odvijat \u0107e se na sljede\u0107i na\u010din. Stealthwatch pa\u017eljivo prati aktivnost svakog ure\u0111aja u mre\u017ei i sposobno je stvoriti obrazac normalnog pona\u0161anja. Osim toga, ovo rje\u0161enje pru\u017ea duboko razumijevanje poznatog neprikladnog pona\u0161anja. U okviru ovog rje\u0161enja koristi se oko 100 razli\u010ditih algoritama analize ili heuristi\u010dkih pravila koja se odnose na razli\u010dite tipove pona\u0161anja prometa, poput skeniranja, slanja okvira uzbune s \u010dvora, prijave metodom poga\u0111anja lozinke, pretpostavljenog preuzimanja podataka, pretpostavljenog curenja podataka itd. Navedeni sigurnosni doga\u0111aji spadaju u kategoriju logi\u010dke uzbune visokog nivoa. Neki sigurnosni doga\u0111aji tako\u0111er mogu sami izazvati aktivaciju uzbune. Tako je sustav sposoban korelirati brojne izolirane anomalne incidente i prikupiti ih u cjelinu kako bi odredio mogu\u0107i tip napada, te ga povezao s odre\u0111enim ure\u0111ajem i korisnikom (slika 2). Nadalje, incident se mo\u017ee prou\u010diti u dinamici uzimaju\u0107i u obzir povezane podatke telemetrije. To \u010dini kontekstualne informacije u svom najboljem obliku. Lije\u010dnici koji pregledavaju pacijenta kako bi razumjeli \u0161to se dogodilo ne razmatraju simptome odvojeno. Oni prou\u010davaju cjelokupnu sliku radi postavljanja dijagnoze. Sli\u010dno tome, Stealthwatch bilje\u017ei svaku anomalu u mre\u017ei i prou\u010dava je u cjelini, \u0161alju\u0107i signale uzbune uzimaju\u0107i u obzir kontekst, \u010dime poma\u017ee stru\u010dnjacima za sigurnost da postave prioritete rizicima.<\/p>\n

<\/p>\n

\"Analiza
\nOtkrivanje anomali\u0458\u0430 pomo\u0107u modeliranja pona\u0161anja<\/em><\/p>\n

<\/p>\n

Fizi\u010dko implementiranje mre\u017ee izgleda ovako:<\/p>\n

<\/p>\n

\"Analiza
\nOpcija implementacije mre\u017ee podru\u017enice ( pojednostavljena )<\/em><\/p>\n

<\/p>\n

\"Analiza
\nOpcija implementacije mre\u017ee podru\u017enice<\/em><\/p>\n

<\/p>\n

Mre\u017ea je implementirana, ali preostaje otvoreno pitanje o neuronskoj mre\u017ei. Organizirali su mre\u017eu prijenosa podataka, postavili senzore na pragu i pokrenuli sustav prikupljanja informacija, ali neuronska mre\u017ea nije sudjelovala. Za sada.<\/p>\n

<\/p>\n

Vi\u0161eslojna neuronska mre\u017ea<\/h3>\n

<\/p>\n

Sustav analizira pona\u0161anje korisnika i ure\u0111aja kako bi otkrio zlonamjerne infekcije, komunikacije s komandnim poslu\u017eiteljima, curenja podataka, kao i potencijalno nepo\u017eeljne aplikacije koje rade unutar infrastrukture organizacije. Postoji nekoliko razina obrade podataka, na kojima kombinacija metoda umjetne inteligencije, strojnog u\u010denja i matemati\u010dke statistike poma\u017ee mre\u017ei da se samoobu\u010dava na svojoj normalnoj aktivnosti, omogu\u0107uju\u0107i joj da prepoznaje zlonamirnu aktivnost.<\/p>\n

<\/p>\n

Cjevovod analize sigurnosti mre\u017ee, koji prikuplja podatke telemetrije iz svih dijelova pro\u0161irene mre\u017ee, uklju\u010duju\u0107i \u0161ifrirani promet, jedinstvena je karakteristika Stealthwatcha. Postupno formira razumijevanje onoga \u0161to je \u201eanomali\u010dno\u201d, zatim klasificira stvarne pojedina\u010dne elemente \u201eprijetnje\u201d i kona\u010dno donosi kona\u010dnu odluku o tome jesu li ure\u0111aj ili korisnik zapravo kompromitirani. Sposobnost okupljanja malih dijelova, koji zajedno \u010dine dokaz za dono\u0161enje kona\u010dne odluke o kompromitiranju objekta, omogu\u0107ena je kroz vrlo pa\u017eljivu analizu i korelaciju.<\/p>\n

<\/p>\n

Ova sposobnost je izuzetno va\u017ena, jer standardno poduze\u0107e mo\u017ee svakodnevno primati ogromnu koli\u010dinu alarma, a istra\u017eivanje svake od njih je nemogu\u0107e \u2014 resursi stru\u010dnjaka za sigurnost su ograni\u010deni. Modul strojnog u\u010denja obra\u0111uje ogromnu koli\u010dinu informacija gotovo u stvarnom vremenu kako bi identificirao kriti\u010dne incidente s visokim nivoom povjerenja, a tako\u0111er je sposoban predlo\u017eiti jasan postupak za brzu intervenciju.<\/p>\n

<\/p>\n

Pogledajmo pobli\u017ee brojne metode strojnog u\u010denja koje koristi Stealthwatch. Kada incident pre\u0111e u modul strojnog u\u010denja Stealthwatcha, prolazi kroz sigurnosnu analiti\u010dku cijev unutar koje se koristi kombinacija metoda strojnog u\u010denja s nadzorom i bez nadzora.<\/p>\n

<\/p>\n

\"Analiza
\nMogu\u0107nosti vi\u0161erazinskog strojnog u\u010denja<\/em><\/p>\n

<\/p>\n

Razina 1. Otkrivanje anomalija i modeliranje povjerenja<\/h3>\n

<\/p>\n

Na toj razini se 99 % prometa odbacuje putem statisti\u010dkih detektora anomalija. Ti senzori zajedno formiraju slo\u017eene modele onoga \u0161to je normalno i onoga \u0161to je, s druge strane, anomalno. Me\u0111utim, anomalno ne mora nu\u017eno biti zlonamjerno. Mnoge stvari koje se doga\u0111aju u va\u0161oj mre\u017ei nisu povezane s prijetnjom \u2014 jednostavno su neobi\u010dne. Ipak, va\u017eno je klasificirati takve procese neovisno o prijete\u0107em pona\u0161anju. Iz tog razloga rezultati rada takvih detektora prolaze daljnju analizu kako bi se zabilje\u017eilo neobi\u010dno pona\u0161anje koje se mo\u017ee objasniti i kojem se mo\u017ee vjerovati. Na kraju, samo mali postotak najva\u017enijih tokova i zahtjeva prelazi na 2. i 3. razinu. Bez primjene takvih metoda strojnog u\u010denja operativni tro\u0161kovi odvajanja signala od \u0161uma bili bi preveliki.<\/p>\n

<\/p>\n

Otkrivanje anomalija.<\/strong> U prvom koraku pri otkrivanju anomalija koriste se statisti\u010dke metode strojnog u\u010denja za odvajanje statisti\u010dki normalnog prometa od anomalnog. Vi\u0161e od 70 pojedina\u010dnih detektora obra\u0111uje telemetrijske podatke koje Stealthwatch prikuplja o prometu koji prolazi kroz perimetar va\u0161e mre\u017ee, odvajaju\u0107i unutarnji promet sustava domenskih imena (DNS) i podatke proxy poslu\u017eitelja ako postoje. Svaki zahtjev obra\u0111uje vi\u0161e od 70 detektora, pri \u010demu svaki detektor koristi svoj statisti\u010dki algoritam formiraju\u0107i procjenu otkrivenih anomalija. Te ocjene se udru\u017euju, a kao rezultat primjene nekoliko statisti\u010dkih metoda dobiva se jedinstvena procjena za svaki pojedina\u010dni zahtjev. Zatim se ta skupna procjena koristi za odvajanje normalnog i anomalnog prometa.<\/p>\n

<\/p>\n

Modeliranje povjerenja.<\/strong> Nakon toga, sli\u010dni zahtjevi se grupiraju, a ukupna procjena anomalija za takve grupe odre\u0111uje se kao dugoro\u010dni srednji vrijednost. S vremenom, analizi se podvrgavaju dodatni zahtjevi kako bi se odredila dugoro\u010dna srednja vrijednost, \u0161to omogu\u0107ava smanjenje la\u017eno pozitivnih i la\u017eno negativnih uzbunjivanja. Rezultati modeliranja povjerenja koriste se za odabir podskupa prometa, \u010dija procjena anomalija prema\u0161uje odre\u0111enu dinami\u010dki definiranu prag vrijednost, kako bi se prebacila na sljede\u0107u razinu obrade.<\/p>\n

<\/p>\n

Razina 2. Klasifikacija doga\u0111aja i modeliranje objekta<\/h3>\n

<\/p>\n

Na ovoj razini vr\u0161i se klasifikacija rezultata dobivenih u prethodnim fazama, povezuju\u0107i ih sa specifi\u010dnim zlo\u0107udnim doga\u0111ajima. Klasifikacija doga\u0111aja vr\u0161i se prema vrijednosti koju dodjeljuju klasifikatori strojnog u\u010denja s ciljem odr\u017eavanja konstantnog postotka to\u010dnosti iznad 90%. Me\u0111u njima su:<\/p>\n

<\/p>\n