{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Titkos\u00edtott forgalom elemz\u00e9se an\u00e9lk\u00fcl, hogy azt dek\u00f3doln\u00e1nk","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Olyan forgalomelemz\u0151 rendszer, amely nem dek\u00f3dolja a forgalmat. Ezt a m\u00f3dszert egyszer\u0171en \"g\u00e9pi tanul\u00e1snak\" h\u00edvj\u00e1k. Kider\u00fclt, hogy ha egy speci\u00e1lis klasszifik\u00e1torhoz nagyon nagy mennyis\u00e9g\u0171 k\u00fcl\u00f6nb\u00f6z\u0151 forgalmat adunk, a rendszer nagyon magas val\u00f3sz\u00edn\u0171s\u00e9ggel \u00e9szlelheti a rosszindulat\u00fa k\u00f3d tev\u00e9kenys\u00e9geit a titkos\u00edtott forgalomban.<\/p>\n

<\/p>\n

\"Titkos\u00edtott<\/p>\n

<\/a><\/noindex><\/p>\n

A h\u00e1l\u00f3zati fenyeget\u00e9sek megv\u00e1ltoztak \u00e9s \"okosabb\u00e1\" v\u00e1ltak. Az ut\u00f3bbi id\u0151ben megv\u00e1ltozott a t\u00e1mad\u00e1s \u00e9s v\u00e9dekez\u00e9s koncepci\u00f3ja is. A h\u00e1l\u00f3zaton tapasztalt esem\u00e9nyek sz\u00e1ma t\u00f6bbsz\u00f6r\u00f6s\u00e9re n\u0151tt. A t\u00e1mad\u00e1sok kifinomultabbak lettek, \u00e9s a hackerek sz\u00e9lesebb t\u00e1mad\u00e1si spektrumra f\u00e9rtek hozz\u00e1.<\/p>\n

<\/p>\n

A Cisco statisztik\u00e1i szerint a b\u0171n\u00f6z\u0151k az ut\u00f3bbi \u00e9vben h\u00e1romszoros\u00e1ra n\u00f6velt\u00e9k a rosszindulat\u00fa programok sz\u00e1m\u00e1t, amelyeket a tev\u00e9kenys\u00e9g\u00fck, pontosabban annak eltitkol\u00e1sa \u2014 titkos\u00edt\u00e1sa \u2014 \u00e9rdek\u00e9ben haszn\u00e1lnak. A tudom\u00e1ny szerint a \"helyes\" titkos\u00edt\u00e1si algoritmus nem t\u00f6rhet\u0151 fel. Annak meg\u00e9rt\u00e9s\u00e9hez, hogy mi rejlik a titkos\u00edtott forgalomban, vagy azt kell dek\u00f3dolni a kulcs ismeret\u00e9ben, vagy megpr\u00f3b\u00e1lni k\u00fcl\u00f6nb\u00f6z\u0151 tr\u00fckk\u00f6kkel dek\u00f3dolni, vagy puszt\u00e1n er\u0151szakkal bet\u00f6rni, vagy kihaszn\u00e1lni a kriptogr\u00e1fiai protokollokban l\u00e9v\u0151 hib\u00e1kat.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nA mai h\u00e1l\u00f3zati fenyeget\u00e9sek k\u00e9pe<\/em><\/p>\n

<\/p>\n

G\u00e9pi tanul\u00e1s<\/h3>\n

<\/p>\n

Ismerd meg a technol\u00f3gi\u00e1t! Miel\u0151tt besz\u00e9ln\u00e9nk arr\u00f3l, hogyan m\u0171k\u00f6dik a g\u00e9pi tanul\u00e1s alap\u00fa dek\u00f3dol\u00e1si technol\u00f3gia, tiszt\u00e1zni kell, hogyan m\u0171k\u00f6dik a neur\u00e1lis h\u00e1l\u00f3zatok technol\u00f3gi\u00e1ja.<\/p>\n

<\/p>\n

A g\u00e9pi tanul\u00e1s (Machine Learning) az mesters\u00e9ges intelligencia sz\u00e9les \u00e1ga, amely az \u00f6n\u00e1ll\u00f3an tanul\u00f3 algoritmusok kidolgoz\u00e1s\u00e1nak m\u00f3dszereivel foglalkozik. Ez a tudom\u00e1ny az \"oktat\u00e1s\" matematikai modelljeinek l\u00e9trehoz\u00e1s\u00e1ra \u00f6sszpontos\u00edt. Az oktat\u00e1s c\u00e9lja \u2013 valaminek a megj\u00f3sl\u00e1sa. Emberi \u00e9rtelemben ezt a folyamatot \"b\u00f6lcsess\u00e9gnek\" h\u00edvjuk. \u201eb\u00f6lcsess\u00e9g\"<\/em>. A b\u00f6lcsess\u00e9g azokn\u00e1l az emberekn\u00e9l nyilv\u00e1nul meg, akik el\u00e9gg\u00e9 sok \u00e9vet \u00e9ltek (a 2 \u00e9ves gyerek nem lehet b\u00f6lcs). Amikor tan\u00e1cs\u00e9rt fordulunk id\u0151sebb ismer\u0151seinkhez, inform\u00e1ci\u00f3t adunk \u00e1t nekik egy esem\u00e9nyr\u0151l (bemeneti adatok), \u00e9s seg\u00edts\u00e9get k\u00e9r\u00fcnk. \u0150k pedig visszaeml\u00e9keznek minden olyan helyzetre az \u00e9let\u00fckb\u0151l, ami valahogyan kapcsol\u00f3dik a probl\u00e9m\u00e1nkhoz (tud\u00e1sb\u00e1zis), \u00e9s ezen tud\u00e1s (adatok) alapj\u00e1n valamilyenfajta el\u0151rejelz\u00e9st (tan\u00e1csot) adnak. Ezen tan\u00e1csok el\u0151rejelz\u00e9snek nevezett fajt\u00e1j\u00e1nak az a magyar\u00e1zata, hogy az, aki tan\u00e1csot ad, nem tudja biztosan, hogy mi fog t\u00f6rt\u00e9nni, csak felt\u00e9telezi. Az \u00e9let tapasztalata azt mutatja, hogy az ember igazat mondhat, de t\u00e9vedhet is.<\/p>\n

<\/p>\n

Nem \u00e9rdemes a neur\u00e1lis h\u00e1l\u00f3zatokat a felt\u00e9teles (if-else) algoritmusokkal \u00f6sszehasonl\u00edtani. Ezek k\u00fcl\u00f6nb\u00f6z\u0151 dolgok, \u00e9s kulcsfontoss\u00e1g\u00fa elt\u00e9r\u00e9sek vannak k\u00f6z\u00f6tt\u00fck. A felt\u00e9teles algoritmusnak vil\u00e1gos \"\u00e9rtelmez\u00e9se\" van arra, hogy mit kell tenni. K\u00e9rd\u00e9seket p\u00e9lda bemutat\u00e1s\u00e1val fogom illusztr\u00e1lni.<\/p>\n

<\/p>\n

Feladat. A g\u00e9pkocsi f\u00e9kt\u00e1vj\u00e1nak meghat\u00e1roz\u00e1sa a m\u00e1rk\u00e1ja \u00e9s a gy\u00e1rt\u00e1si \u00e9ve alapj\u00e1n.<\/p>\n

<\/p>\n

A felt\u00e9teles algoritmus m\u0171k\u00f6d\u00e9s\u00e9nek p\u00e9ld\u00e1ja. Ha az aut\u00f3 m\u00e1rk\u00e1ja 1 \u00e9s 2012-ben gy\u00e1rtott\u00e1k \u2013 a f\u00e9kt\u00e1vols\u00e1ga 10 m\u00e9ter, ellenkez\u0151 esetben, ha az aut\u00f3 m\u00e1rk\u00e1ja 2 \u00e9s 2011-ben gy\u00e1rtott\u00e1k, \u00e9s \u00edgy tov\u00e1bb.<\/p>\n

<\/p>\n

A neur\u00e1lis h\u00e1l\u00f3zat m\u0171k\u00f6d\u00e9s\u00e9nek p\u00e9ld\u00e1ja. Gy\u0171jt\u00fcnk adatokat az aut\u00f3k f\u00e9kt\u00e1vols\u00e1gair\u00f3l az elm\u00falt 20 \u00e9vben. A m\u00e1rka \u00e9s az \u00e9v alapj\u00e1n \u00f6ssze\u00e1ll\u00edtunk egy t\u00e1bl\u00e1zatot a k\u00f6vetkez\u0151 form\u00e1ban: \"m\u00e1rka-gy\u00e1rt\u00e1si \u00e9v-f\u00e9kt\u00e1vols\u00e1g\". Ezt a t\u00e1bl\u00e1zatot beadjunk a neur\u00e1lis h\u00e1l\u00f3zatnak, \u00e9s elkezdj\u00fck tan\u00edtani. A tan\u00edt\u00e1s a k\u00f6vetkez\u0151k\u00e9ppen t\u00f6rt\u00e9nik: adatokat adunk a neur\u00e1lis h\u00e1l\u00f3zatnak, de a f\u00e9kt\u00e1vols\u00e1g n\u00e9lk\u00fcl. A neur\u00e1lis h\u00e1l\u00f3zat megpr\u00f3b\u00e1lja megj\u00f3solni, hogy mi lesz a f\u00e9kt\u00e1vols\u00e1g, a bet\u00e1pl\u00e1lt t\u00e1bl\u00e1zat alapj\u00e1n. Valamit el\u0151rejelez, \u00e9s felteszi a k\u00e9rd\u00e9st a felhaszn\u00e1l\u00f3nak: \"Igazam van?\" A k\u00e9rd\u00e9s el\u0151tt l\u00e9trehoz egy negyedik oszlopot - a tal\u00e1lgat\u00e1sok oszlop\u00e1t. Ha igaza van - 1-et \u00edr a negyedik oszlopba, ha t\u00e9vedett - 0-t. A neur\u00e1lis h\u00e1l\u00f3zat a k\u00f6vetkez\u0151 esem\u00e9nyhez l\u00e9p (akkor is, ha t\u00e9vedett). \u00cdgy tanul a h\u00e1l\u00f3zat, \u00e9s amikor a tan\u00edt\u00e1s befejez\u0151dik (ha el\u00e9rj\u00fck a konvergencia meghat\u00e1rozott krit\u00e9rium\u00e1t), adatokat adunk meg a minket \u00e9rdekl\u0151 aut\u00f3r\u00f3l, \u00e9s v\u00e9g\u00fcl v\u00e1laszt kapunk.<\/p>\n

<\/p>\n

Ahhoz, hogy tiszt\u00e1zzam a konvergencia krit\u00e9rium k\u00e9rd\u00e9s\u00e9t, elmagyar\u00e1zom, hogy ez egy matematikailag levezetett k\u00e9plet a statisztik\u00e1hoz. K\u00e9t k\u00fcl\u00f6nb\u00f6z\u0151 konvergencia k\u00e9plet szembet\u0171n\u0151 p\u00e9ld\u00e1ja. A piros - bin\u00e1ris konvergencia, a k\u00e9k - norm\u00e1lis konvergencia.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nBinomi\u00e1lis \u00e9s norm\u00e1lis val\u00f3sz\u00edn\u0171s\u00e9gi eloszl\u00e1s<\/em><\/p>\n

<\/p>\n

Hogy jobban \u00e9rthet\u0151 legyen, tegy\u00fck fel a k\u00e9rd\u00e9st: \u201eMekkora a val\u00f3sz\u00edn\u0171s\u00e9ge, hogy dinoszaurusszal tal\u00e1lkozunk?\u201d. Itt k\u00e9t v\u00e1laszlehet\u0151s\u00e9g van. 1. lehet\u0151s\u00e9g - nagyon kicsi (k\u00e9k grafikon). 2. lehet\u0151s\u00e9g - vagy tal\u00e1lkozom, vagy nem (piros grafikon).<\/p>\n

<\/p>\n

Term\u00e9szetesen a sz\u00e1m\u00edt\u00f3g\u00e9p nem ember, \u00e9s m\u00e1sk\u00e9nt tanul. K\u00e9tf\u00e9le tanul\u00e1st k\u00fcl\u00f6nb\u00f6ztet\u00fcnk meg az \u201e\u00e9rtelmes g\u00e9p\u201d eset\u00e9ben - precedens alap\u00fa tanul\u00e1s<\/strong> \u00e9s dedukt\u00edv tanul\u00e1s<\/strong>.<\/p>\n

<\/p>\n

A precedens alap\u00fa tanul\u00e1s egy matematikai t\u00f6rv\u00e9nyek alapj\u00e1n t\u00f6rt\u00e9n\u0151 tanul\u00e1si m\u00f3dszer. A matematikusok statisztikai t\u00e1bl\u00e1zatokat k\u00e9sz\u00edtenek, k\u00f6vetkeztet\u00e9seket vonnak le, \u00e9s bet\u00f6ltik az eredm\u00e9nyt a neur\u00e1lis h\u00e1l\u00f3zatba - a sz\u00e1m\u00edt\u00e1si formula.<\/p>\n

<\/p>\n

A dedukt\u00edv tanul\u00e1s - a tanul\u00e1s teljesen a neur\u00e1lis h\u00e1l\u00f3zatban zajlik (az adatok gy\u0171jt\u00e9s\u00e9t\u0151l a feldolgoz\u00e1s\u00e1ig). Itt egy t\u00e1bl\u00e1zat j\u00f6n l\u00e9tre formula n\u00e9lk\u00fcl, de statisztik\u00e1val.<\/p>\n

<\/p>\n

A technol\u00f3gi\u00e1r\u00f3l val\u00f3 sz\u00e9lesk\u00f6r\u0171 \u00e1ttekint\u00e9s m\u00e9g t\u00f6bb tucat cikket venne ig\u00e9nybe. Ebb\u0151l eddig ennyi elegend\u0151 az \u00e1ltal\u00e1nos meg\u00e9rt\u00e9shez.<\/p>\n

<\/p>\n

Neuroplaszticit\u00e1s<\/h3>\n

<\/p>\n

A biol\u00f3gi\u00e1ban l\u00e9tezik egy fogalom - neuroplaszticit\u00e1s. A neuroplaszticit\u00e1s azt jelenti, hogy a neuronok (az agy sejtjei) az \u201eaktu\u00e1lis helyzet\u201d szerint m\u0171k\u00f6dnek. P\u00e9ld\u00e1ul az a szem\u00e9ly, aki elvesztette a l\u00e1t\u00e1s\u00e1t, jobban hallja a hangokat, \u00e9rzi a szagokat \u00e9s tapintja a t\u00e1rgyakat. Ez az\u00e9rt t\u00f6rt\u00e9nik, mert az agy egy r\u00e9sze (a neuronok egy r\u00e9sze), amely a l\u00e1t\u00e1s\u00e9rt felel\u0151s, \u00e1tcsoportos\u00edtja a munk\u00e1j\u00e1t m\u00e1s funkci\u00f3kra.<\/p>\n

<\/p>\n

A neuroplaszticit\u00e1s \u00e9l\u00e9nk p\u00e9ld\u00e1ja az BrainPort cukor.<\/p>\n

<\/p>\n

2009-ben a wisconsini Madison Egyetem bejelentette egy \u00faj eszk\u00f6z megjelen\u00e9s\u00e9t, amely a \u201enyelvi kijelz\u0151\u201d \u00f6tleteit fejleszti - ezt BrainPortnak nevezt\u00e9k el. A BrainPort algoritmusa a k\u00f6vetkez\u0151k\u00e9ppen m\u0171k\u00f6dik: a vide\u00f3signal a kamer\u00e1b\u00f3l a processzorba \u00e9rkezik, amely kezeli a nagy\u00edt\u00e1st, f\u00e9nyer\u0151t \u00e9s egy\u00e9b k\u00e9ppel kapcsolatos param\u00e9tereket. Ezen fel\u00fcl digit\u00e1lis jeleket alak\u00edt elektromos impulzusokk\u00e1, gyakorlatilag \u00e1tv\u00e9ve a retina funkci\u00f3it.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nBrainPort \u00e9dess\u00e9g szem\u00fcveggel \u00e9s kamer\u00e1val<\/em><\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nBrainPort m\u0171k\u00f6d\u00e9s k\u00f6zben<\/em><\/p>\n

\n

\r\n \"Vide\u00f3\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Ugyan\u00edgy m\u0171k\u00f6dik a sz\u00e1m\u00edt\u00f3g\u00e9pen is. Ha a neur\u00e1lis h\u00e1l\u00f3zat v\u00e1ltoz\u00e1st \u00e9szlel a folyamatban, alkalmazkodik hozz\u00e1. Ez az auton\u00f3mi\u00e1juk kulcsfontoss\u00e1g\u00fa el\u0151nye m\u00e1s algoritmusokkal szemben - egyfajta emberiess\u00e9g.<\/p>\n

<\/p>\n

Titkos\u00edtott forgalom analitika<\/h3>\n

<\/p>\n

Az Encrypted Traffic Analytics a Stealthwatch rendszer r\u00e9sze. A Stealthwatch a Cisco fejleszt\u00e9se a biztons\u00e1gi monitoring \u00e9s analitika megold\u00e1sok ter\u00e9n, amely v\u00e1llalati telemetriai adatokat haszn\u00e1l a megl\u00e9v\u0151 h\u00e1l\u00f3zati infrastrukt\u00far\u00e1b\u00f3l.<\/p>\n

<\/p>\n

A Stealthwatch Enterprise alapj\u00e1t a Flow Rate License, Flow Collector, Management Console \u00e9s Flow Sensor eszk\u00f6z\u00f6k k\u00e9pezik.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nCisco Stealthwatch fel\u00fclet<\/em><\/p>\n

<\/p>\n

A titkos\u00edt\u00e1s probl\u00e9m\u00e1ja mostanra nagyon \u00e9less\u00e9 v\u00e1lt, mivel sokkal t\u00f6bb forgalmat kezdtek el titkos\u00edtani. Kor\u00e1bban f\u0151leg a k\u00f3dot titkos\u00edtott\u00e1k, most azonban az \u00f6sszes forgalmat titkos\u00edtj\u00e1k, \u00e9s a \"tiszta\" adatok elk\u00fcl\u00f6n\u00edt\u00e9se a v\u00edrusokt\u00f3l sokkal nehezebb lett. J\u00f3 p\u00e9lda erre a WannaCry, amely a Tor-t haszn\u00e1lta a h\u00e1l\u00f3zaton val\u00f3 jelenl\u00e9t\u00e9nek elrejt\u00e9s\u00e9re.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nA forgalom titkos\u00edt\u00e1s\u00e1nak n\u00f6veked\u00e9s\u00e9t vizualiz\u00e1l\u00f3 grafikon<\/em><\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nTitkos\u00edt\u00e1s a makrogazdas\u00e1gban<\/em><\/p>\n

<\/p>\n

Az Encrypted Traffic Analytics (ETA) rendszer \u00e9ppen a titkos\u00edtott forgalom kezel\u00e9s\u00e9re szolg\u00e1l an\u00e9lk\u00fcl, hogy fel kellene bontani azt. A t\u00e1mad\u00f3k okosak, \u00e9s kriptogr\u00e1fiai algoritmusokat haszn\u00e1lnak, amelyek felt\u00f6r\u00e9se nemcsak probl\u00e9ma, hanem a szervezetek sz\u00e1m\u00e1ra rendk\u00edv\u00fcl k\u00f6lts\u00e9ges is.<\/p>\n

<\/p>\n

A rendszer \u00edgy m\u0171k\u00f6dik. Egy forgalom \u00e9rkezik a v\u00e1llalathoz. Ez beleker\u00fcl a TLS (transport layer security \u2014 sz\u00e1ll\u00edt\u00e1si szint v\u00e9delme) protokollba. Tegy\u00fck fel, hogy a forgalom titkos\u00edtott. Arra pr\u00f3b\u00e1lunk v\u00e1laszolni, hogy milyen kapcsolat j\u00f6tt l\u00e9tre.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nAz Encrypted Traffic Analytics (ETA) rendszer m\u0171k\u00f6d\u00e9si elve<\/em><\/p>\n

<\/p>\n

Hogy v\u00e1laszoljunk ezekre a k\u00e9rd\u00e9sekre, g\u00e9pi tanul\u00e1st haszn\u00e1lunk a rendszerben. A Cisco kutat\u00e1sai alapj\u00e1n l\u00e9trej\u00f6n egy t\u00e1bl\u00e1zat kimenetk\u00e9nt k\u00e9t kateg\u00f3ri\u00e1ban \u2013 a rosszindulat\u00fa \u00e9s a \"j\u00f3\" forgalom. Term\u00e9szetesen nem tudjuk pontosan, hogy a rendszerbe \u00e9ppen most milyen forgalom ker\u00fclt, de nyomon k\u00f6vethetj\u00fck a forgalom hist\u00f3ri\u00e1j\u00e1t a c\u00e9gen bel\u00fcl \u00e9s k\u00edv\u00fcl, a glob\u00e1lis adatokra t\u00e1maszkodva. E szakasz kimenetek\u00e9nt egy hatalmas adatokkal teli t\u00e1bl\u00e1zatot kapunk.<\/p>\n

<\/p>\n

A kutat\u00e1s eredm\u00e9nyek\u00e9nt jellegzetes jegyek der\u00fclnek ki \u2013 bizonyos szab\u00e1lyok, amelyeket matematikai form\u00e1ban r\u00f6gz\u00edthet\u00fcnk. Ezek a szab\u00e1lyok nagyon elt\u00e9r\u0151 m\u00f3don v\u00e1ltoznak a k\u00fcl\u00f6nb\u00f6z\u0151 krit\u00e9riumok szerint \u2013 a tov\u00e1bb\u00edtott f\u00e1jlok m\u00e9rete, a csatlakoz\u00e1si t\u00edpus, az orsz\u00e1g, ahonnan a forgalom \u00e9rkezik, stb. A munka eredm\u00e9nyek\u00e9nt egy hatalmas t\u00e1bl\u00e1zat halmazz\u00e1 alakult, tele formul\u00e1kkal. Kevesebb lett bel\u0151l\u00fck, de ez nem elegend\u0151 a k\u00e9nyelmes munk\u00e1hoz.<\/p>\n

<\/p>\n

Ezt k\u00f6vet\u0151en a g\u00e9pi tanul\u00e1s technol\u00f3gi\u00e1j\u00e1t alkalmazz\u00e1k \u2013 a formula konvergenci\u00e1j\u00e1val \u00e9s a konvergencia eredm\u00e9nyek\u00e9nt kapunk egy triggert \u2013 egy kapcsol\u00f3t, ahol az adatok kiad\u00e1sakor egy kikapcsol\u00f3t ( z\u00e1szl\u00f3t) kapunk felemelt vagy leengedett \u00e1llapotban.<\/p>\n

<\/p>\n

A v\u00e9gs\u0151 szakasz \u2013 olyan triggerekkel val\u00f3 rendelkez\u00e9s, amelyek a forgalom 99%-\u00e1t lefedik.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nA forgalom ellen\u0151rz\u00e9s\u00e9nek l\u00e9p\u00e9sei ETA-ban<\/em><\/p>\n

<\/p>\n

A munka eredm\u00e9nyek\u00e9nt egy m\u00e1sik probl\u00e9m\u00e1t is megoldunk \u2013 a bels\u0151 t\u00e1mad\u00e1sokkal. T\u00f6bb\u00e9 nincs sz\u00fcks\u00e9g emberekre, akik manu\u00e1lisan sz\u0171rik a forgalmat (ezzel saj\u00e1t magamat b\u00e1ntom). El\u0151sz\u00f6r is, t\u00f6bb\u00e9 nincs sz\u00fcks\u00e9g sok p\u00e9nzt k\u00f6lteni egy j\u00f3 rendszergazd\u00e1ra (tov\u00e1bbra is b\u00fcntetem magam). M\u00e1sfel\u0151l, cs\u00f6kken a bels\u0151 felt\u00f6r\u00e9s vesz\u00e9lye (legal\u00e1bbis r\u00e9szben).<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nElavult Man-in-the-Middle koncepci\u00f3<\/em><\/p>\n

<\/p>\n

Most n\u00e9zz\u00fck meg, mire alapoz a rendszer.<\/p>\n

<\/p>\n

A rendszer 4 kommunik\u00e1ci\u00f3s protokollra \u00e9p\u00fcl: TCP\/IP \u2013 az internetes adat\u00e1tviteli protokoll, DNS \u2013 a domainek szerver protokollja, TLS \u2013 a sz\u00e1ll\u00edt\u00e1si szint v\u00e9delmi protokollja, SPLT (SpaceWire Physical Layer Tester) \u2013 a fizikai szint tesztel\u0151je.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nProtokollok, amelyek ETA-val dolgoznak<\/em><\/p>\n

<\/p>\n

Az \u00f6sszehasonl\u00edt\u00e1s az adatok p\u00e1ros\u00edt\u00e1s\u00e1val t\u00f6rt\u00e9nik. A TCP\/IP protokollok alapj\u00e1n ellen\u0151rizz\u00fck a webhelyek h\u00edrnev\u00e9t (l\u00e1togat\u00e1si el\u0151zm\u00e9nyek, a webhely c\u00e9lja stb.), a DNS protokoll seg\u00edts\u00e9g\u00e9vel pedig kiz\u00e1rhatjuk a \"rossz\" webc\u00edmeket. A TLS protokoll a webhely \"lenyomataival\" (fingerprint) dolgozik, \u00e9s ellen\u0151rzi a webhelyet a s\u00fcrg\u0151ss\u00e9gi helyzetek reag\u00e1l\u00e1s\u00e1ra kialak\u00edtott sz\u00e1m\u00edt\u00f3g\u00e9pes csoportra vonatkoz\u00f3 adatb\u00e1zisban (cert). Az utols\u00f3 l\u00e9p\u00e9s az \u00f6sszek\u00f6ttet\u00e9s ellen\u0151rz\u00e9se \u2013 a fizikai szinten t\u00f6rt\u00e9nik. A l\u00e9p\u00e9s m\u0171k\u00f6d\u00e9s\u00e9nek r\u00e9szletei nem ker\u00fclnek r\u00f6gz\u00edt\u00e9sre, de a l\u00e9nyeg a k\u00f6vetkez\u0151: a szinuszhull\u00e1mok \u00e9s a koszinuszhull\u00e1mok ellen\u0151rz\u00e9se a jelsz\u00f3r\u00e1z\u00e1sm\u00e9r\u0151 telep\u00edt\u00e9sein, azaz a fizikai szinten t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sszerkezet alapj\u00e1n meghat\u00e1rozzuk az \u00f6sszek\u00f6ttet\u00e9s c\u00e9lj\u00e1t.<\/p>\n

<\/p>\n

A rendszer m\u0171k\u00f6d\u00e9se r\u00e9v\u00e9n, adatokat tudunk kinyerni a titkos\u00edtott forgalomb\u00f3l. A csomagok vizsg\u00e1lat\u00e1val maximaliz\u00e1lhatjuk az inform\u00e1ci\u00f3t az egyes csomagok titkos\u00edtatlan mez\u0151ib\u0151l. A fizikai szint\u0171 csomagellen\u0151rz\u00e9s seg\u00edts\u00e9g\u00e9vel megismerhetj\u00fck a csomag jellemz\u0151it (r\u00e9szben vagy teljesen). Ezen k\u00edv\u00fcl, nem szabad elfeledkezn\u00fcnk a weboldalak h\u00edrnev\u00e9r\u0151l sem. Ha a k\u00e9r\u00e9s valamely .onion forr\u00e1sb\u00f3l \u00e9rkezett, akkor nem \u00e9rdemes megb\u00edzni benne. Az ilyen t\u00edpus\u00fa adatokkal val\u00f3 egyszer\u0171bb munka \u00e9rdek\u00e9ben kock\u00e1zati t\u00e9rk\u00e9pet k\u00e9sz\u00edtett\u00fcnk.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nAz ETA m\u0171k\u00f6d\u00e9s\u00e9nek eredm\u00e9nye<\/em><\/p>\n

<\/p>\n

\u00c9s minden j\u00f3nak t\u0171nik, de besz\u00e9lj\u00fcnk a h\u00e1l\u00f3zat ki\u00e9p\u00edt\u00e9s\u00e9r\u0151l.<\/p>\n

<\/p>\n

Az ETA fizikai megval\u00f3s\u00edt\u00e1sa<\/h3>\n

<\/p>\n

Itt sz\u00e1mos \u00e1rnyalat \u00e9s finoms\u00e1g mer\u00fcl fel. El\u0151sz\u00f6r is, ilyen t\u00edpus\u00fa
\nh\u00e1l\u00f3zatok l\u00e9trehoz\u00e1s\u00e1hoz sz\u00fcks\u00e9ges az adatok gy\u0171jt\u00e9se. Az adatokat k\u00e9zzel gy\u0171jteni teljesen
\nkellemetlen, de reag\u00e1l\u00f3rendszert kialak\u00edtani \u2013 m\u00e1r \u00e9rdekesebb feladat. M\u00e1sodszor, az adatok
\nnagy mennyis\u00e9g\u0171ek kell, hogy legyenek, ami azt jelenti, hogy a telep\u00edtett szenzoroknak
\nnemcsak \u00f6n\u00e1ll\u00f3an, hanem finomhangolt \u00fczemm\u00f3dban is kell m\u0171k\u00f6dni\u00fck, ami sz\u00e1mos neh\u00e9zs\u00e9get jelent.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nSzenzorok \u00e9s a Stealthwatch rendszer<\/em><\/p>\n

<\/p>\n

Szenzort telep\u00edteni \u2013 ez az egyik dolog, de be\u00e1ll\u00edtani azt \u2013 teljesen m\u00e1s feladat. A szenzorok be\u00e1ll\u00edt\u00e1s\u00e1hoz egy komplex rendszer sz\u00fcks\u00e9ges, amely a k\u00f6vetkez\u0151 topol\u00f3gia ment\u00e9n m\u0171k\u00f6dik \u2013 ISR = Cisco integr\u00e1lt szolg\u00e1ltat\u00e1s router (Cisco Integrated Services Router); ASR = Cisco aggreg\u00e1l\u00f3 szolg\u00e1ltat\u00e1s router (Cisco Aggregation Services Router); CSR = Cisco felh\u0151szolg\u00e1ltat\u00e1sok router (Cisco Cloud Services Router); WLC = Cisco vezet\u00e9k n\u00e9lk\u00fcli helyi h\u00e1l\u00f3zati vez\u00e9rl\u0151 (Cisco Wireless LAN Controller); IE = Cisco ipari Ethernet kapcsol\u00f3 (Cisco Industrial Ethernet); ASA = Cisco alkalmazkod\u00f3 biztons\u00e1gi eszk\u00f6z (Cisco Adaptive Security Appliance); FTD = Cisco Firepower Threat Defense v\u00e9delmi megold\u00e1s; WSA = webforgalom v\u00e9delmi eszk\u00f6z (Web Security Appliance); ISE = azonos\u00edt\u00e1si szolg\u00e1ltat\u00e1sok motorja (Identity Services Engine)<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nKomplex monitoring b\u00e1rmilyen telemetrikus adat figyelembev\u00e9tel\u00e9vel<\/em><\/p>\n

<\/p>\n

A h\u00e1l\u00f3zati adminisztr\u00e1torokn\u00e1l aritmia kezd\u0151dhet a \u201eCisco\u201d sz\u00f3nak a kor\u00e1bbi bekezd\u00e9sben l\u00e9v\u0151 gyakoris\u00e1ga miatt. Ennek a csod\u00e1nak az \u00e1ra nem kicsi, de ma err\u0151l nem besz\u00e9l\u00fcnk...<\/p>\n

<\/p>\n

A hacker's behavior simulation will occur as follows. Stealthwatch meticulously monitors the activity of each device on the network and is capable of creating a pattern of normal behavior. Additionally, this solution provides a deep understanding of known improper behavior. It employs about 100 different analysis algorithms or heuristic rules that relate to various types of traffic behavior, such as scanning, transmitting alert frames from nodes, login attempts via password guessing, suspected data capture, suspected data leakage, and so on. The listed security events fall under the category of high-level logical alerts. Some security events may also trigger alerts on their own. Thus, the system is able to correlate numerous isolated anomalous incidents and combine them to determine the possible type of attack, as well as associate it with a specific device and user (Figure 2). The incident can then be examined dynamically and with consideration of the related telemetry data. This constitutes contextual information at its best. Doctors examining a patient to understand what happened do not consider symptoms in isolation. They look at the overall picture for diagnosis. Similarly, Stealthwatch captures every anomalous activity in the network and studies it comprehensively to send alerts based on context, thereby helping security professionals prioritize risks.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nAnomaly Detection Through Behavior Modeling<\/em><\/p>\n

<\/p>\n

The physical deployment of the network looks like this:<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nBranch network deployment option (simplified)<\/em><\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nBranch network deployment option<\/em><\/p>\n

<\/p>\n

The network is deployed, but there remains an open question about the neural network. The data transmission network has been organized, sensors have been installed on the thresholds, and the information collection system has been launched, but the neural network has not participated in the process. For now.<\/p>\n

<\/p>\n

Multilevel Neural Network<\/h3>\n

<\/p>\n

A rendszer elemzi a felhaszn\u00e1l\u00f3 \u00e9s eszk\u00f6ze viselked\u00e9s\u00e9t a rosszindulat\u00fa fert\u0151z\u00e9sek, a parancs-kiszolg\u00e1l\u00f3kkal folytatott kommunik\u00e1ci\u00f3k, az adatlop\u00e1sok, valamint a szervezet infrastrukt\u00far\u00e1j\u00e1ban fut\u00f3 potenci\u00e1lisan nem k\u00edv\u00e1nt alkalmaz\u00e1sok azonos\u00edt\u00e1sa \u00e9rdek\u00e9ben. Az adatok feldolgoz\u00e1s\u00e1nak t\u00f6bb szintje l\u00e9tezik, ahol a mesters\u00e9ges intelligencia, a g\u00e9pi tanul\u00e1s \u00e9s a matematikai statisztika kombin\u00e1ci\u00f3ja seg\u00edti a h\u00e1l\u00f3zatot abban, hogy megtanulja norm\u00e1lis aktivit\u00e1s\u00e1t, \u00edgy k\u00e9pes azonos\u00edtani a rosszindulat\u00fa tev\u00e9kenys\u00e9geket.<\/p>\n

<\/p>\n

A Stealthwatch egyedi jellemz\u0151je a h\u00e1l\u00f3zat biztons\u00e1gi elemz\u00e9si cs\u0151vezet\u00e9ke, amely telemetriai adatokat gy\u0171jt a kiterjesztett h\u00e1l\u00f3zat minden r\u00e9sz\u00e9b\u0151l, bele\u00e9rtve az titkos\u00edtott forgalmat is. Fokozatosan kialak\u00edtja a meg\u00e9rt\u00e9st arr\u00f3l, mi sz\u00e1m\u00edt \u201eanom\u00e1li\u00e1nak\u201d, majd oszt\u00e1lyozza a t\u00e9nyleges \u201efenyeget\u0151 tev\u00e9kenys\u00e9g\u201d elemeit, v\u00e9g\u00fcl pedig meghozza a v\u00e9gs\u0151 d\u00f6nt\u00e9st arr\u00f3l, hogy a berendez\u00e9s vagy a felhaszn\u00e1l\u00f3 val\u00f3ban kompromitt\u00e1lva lett-e. Az a k\u00e9pess\u00e9g, hogy \u00f6ssze\u00e1ll\u00edtsuk az apr\u00f3 elemeket, amelyek egy\u00fctt bizony\u00edt\u00e9kot k\u00e9peznek a kompromitt\u00e1l\u00e1s v\u00e9gs\u0151 d\u00f6nt\u00e9s\u00e9nek meghozatal\u00e1hoz, nagyon alapos elemz\u00e9sen \u00e9s korrel\u00e1ci\u00f3n alapul.<\/p>\n

<\/p>\n

Ez a k\u00e9pess\u00e9g rendk\u00edv\u00fcl fontos, mivel egy standard v\u00e1llalat naponta hatalmas mennyis\u00e9g\u0171 riaszt\u00e1st kaphat, \u00e9s lehetetlen mindegyiket kivizsg\u00e1lni \u2013 a biztons\u00e1gi szakemberek er\u0151forr\u00e1sai korl\u00e1tozottak. A g\u00e9pi tanul\u00e1s modul val\u00f3s id\u0151ben dolgozza fel a hatalmas mennyis\u00e9g\u0171 inform\u00e1ci\u00f3t a kritikus incidensek azonos\u00edt\u00e1sa \u00e9rdek\u00e9ben, magas fok\u00fa biztons\u00e1ggal, \u00e9s k\u00e9pes vil\u00e1gos l\u00e9p\u00e9seket javasolni a gyors reakci\u00f3 \u00e9rdek\u00e9ben.<\/p>\n

<\/p>\n

N\u00e9zz\u00fck meg r\u00e9szletesebben a Stealthwatch \u00e1ltal haszn\u00e1lt sz\u00e1mos g\u00e9pi tanul\u00e1si m\u00f3dszert. Amikor egy incidens beker\u00fcl a Stealthwatch g\u00e9pi tanul\u00e1si modulj\u00e1ba, \u00e1thalad a biztons\u00e1gi elemz\u00e9s csatorn\u00e1j\u00e1n, ahol a tan\u00edt\u00f3 \u00e9s tan\u00edtatlan g\u00e9pi tanul\u00e1si m\u00f3dszerek kombin\u00e1ci\u00f3j\u00e1t haszn\u00e1lj\u00e1k.<\/p>\n

<\/p>\n

\"Titkos\u00edtott
\nT\u00f6bbszint\u0171 g\u00e9pi tanul\u00e1si k\u00e9pess\u00e9gek<\/em><\/p>\n

<\/p>\n

1. szint. Anom\u00e1li\u00e1k \u00e9s a bizalom modellez\u00e9se<\/h3>\n

<\/p>\n

Ezen a szinten a forgalom 99%-\u00e1t statisztikai anom\u00e1liadetektorok seg\u00edts\u00e9g\u00e9vel kisz\u0171rik. A megadott \u00e9rz\u00e9kel\u0151k \u00f6sszess\u00e9ge bonyolult modelleket alkot arr\u00f3l, mi tekinthet\u0151 norm\u00e1lisnak \u00e9s mi anom\u00e1lisnak. Azonban az anom\u00e1lia nem felt\u00e9tlen\u00fcl jelenti a k\u00e1rt\u00e9kony tev\u00e9kenys\u00e9get. A h\u00e1l\u00f3zat\u00e1ban zajl\u00f3 sok minden nem kapcsol\u00f3dik a fenyeget\u00e9sekhez \u2014 csup\u00e1n furcsa. Fontos ezeket a folyamatokat fenyeget\u0151 magatart\u00e1st\u00f3l f\u00fcggetlen\u00fcl oszt\u00e1lyozni. \u00c9ppen ez\u00e9rt a detektorok munk\u00e1j\u00e1nak eredm\u00e9nyei tov\u00e1bbi elemz\u00e9sen mennek kereszt\u00fcl, hogy a magyar\u00e1zhat\u00f3 \u00e9s megb\u00edzhat\u00f3 furcsa viselked\u00e9st r\u00f6gz\u00edthess\u00e9k. V\u00e9gs\u0151 soron csak a legfontosabb forgalom \u00e9s k\u00e9r\u00e9sek kis h\u00e1nyada ker\u00fcl a 2. \u00e9s 3. szintre. Ha nem alkalmazn\u00e1nak ilyen g\u00e9pi tanul\u00e1si m\u00f3dszereket, az operat\u00edv k\u00f6lts\u00e9gek a jel \u00e9s a zaj elv\u00e1laszt\u00e1s\u00e1hoz t\u00fal magasak lenn\u00e9nek.<\/p>\n

<\/p>\n

Anom\u00e1li\u00e1k \u00e9szlel\u00e9se.<\/strong> Az anom\u00e1li\u00e1k \u00e9szlel\u00e9s\u00e9nek els\u0151 szakasz\u00e1ban statisztikai g\u00e9pi tanul\u00e1si m\u00f3dszereket haszn\u00e1lnak a statisztikailag norm\u00e1lis forgalom elv\u00e1laszt\u00e1s\u00e1ra az anom\u00e1list\u00f3l. T\u00f6bb mint 70 k\u00fcl\u00f6n\u00e1ll\u00f3 detektor elemzi a Stealthwatch \u00e1ltal a h\u00e1l\u00f3zata perem\u00e9n foly\u00f3 forgalomr\u00f3l gy\u0171jt\u00f6tt telemetriai adatokat, elv\u00e1lasztva a bels\u0151 DNS-trafikot \u00e9s a proxy szerver adatait, ha vannak ilyenek. Minden k\u00e9r\u00e9s t\u00f6bb mint 70 detektoron megy kereszt\u00fcl, \u00e9s mindegyik detektor saj\u00e1t statisztikai algoritmus\u00e1t haszn\u00e1lja, hogy \u00e9rt\u00e9kelje az \u00e9szlelt anom\u00e1li\u00e1kat. Ezeket az \u00e9rt\u00e9kel\u00e9seket \u00f6sszevonj\u00e1k, \u00e9s t\u00f6bb statisztikai m\u00f3dszer alkalmaz\u00e1s\u00e1val egyes\u00edtik az egyes k\u00e9r\u00e9sekhez tartoz\u00f3 egyetlen \u00e9rt\u00e9kel\u00e9st. Ezut\u00e1n ezt a kumulat\u00edv \u00e9rt\u00e9kel\u00e9st haszn\u00e1lj\u00e1k a norm\u00e1lis \u00e9s anom\u00e1lis forgalom elv\u00e1laszt\u00e1s\u00e1hoz.<\/p>\n

<\/p>\n

A bizalom modellez\u00e9se.<\/strong> Ezeket a k\u00e9r\u00e9seket ezut\u00e1n csoportos\u00edtj\u00e1k, \u00e9s az ilyen csoportok sz\u00e1m\u00e1ra a hib\u00e1k \u00f6sszes\u00edtett \u00e9rt\u00e9kel\u00e9se hossz\u00fa t\u00e1v\u00fa \u00e1tlagk\u00e9nt ker\u00fcl meghat\u00e1roz\u00e1sra. Az id\u0151 m\u00fal\u00e1s\u00e1val egyre t\u00f6bb k\u00e9r\u00e9st vizsg\u00e1lnak, amelyeket a hossz\u00fa t\u00e1v\u00fa \u00e1tlag meghat\u00e1roz\u00e1s\u00e1hoz haszn\u00e1lnak, ez\u00e1ltal cs\u00f6kkentve a hamis pozit\u00edv \u00e9s hamis negat\u00edv riaszt\u00e1sok sz\u00e1m\u00e1t. A bizalom szimul\u00e1ci\u00f3s eredm\u00e9nyeit arra haszn\u00e1lj\u00e1k, hogy kiv\u00e1lasszanak egy forgalmi mint\u00e1t, amelynek anom\u00e1li\u00e1i meghaladj\u00e1k a dinamikusan meghat\u00e1rozott k\u00fcsz\u00f6b\u00e9rt\u00e9ket, hogy a k\u00f6vetkez\u0151 feldolgoz\u00e1si szintre l\u00e9pjenek.<\/p>\n

<\/p>\n

2. szint. Esem\u00e9nyek oszt\u00e1lyoz\u00e1sa \u00e9s objektummodellez\u00e9s<\/h3>\n

<\/p>\n

Ezen a szinten a kor\u00e1bbi l\u00e9p\u00e9sek eredm\u00e9nyeit konkr\u00e9t k\u00e1rt\u00e9kony esem\u00e9nyekhez rendelik. Az esem\u00e9nyek oszt\u00e1lyoz\u00e1sa a g\u00e9pi tanul\u00e1si klasszifik\u00e1torok \u00e1ltal hozz\u00e1rendelt \u00e9rt\u00e9k alapj\u00e1n t\u00f6rt\u00e9nik, c\u00e9lja, hogy a folyamatos pontos\u00e1g meghaladja a 90%-ot. Ezek k\u00f6z\u00e9 tartoznak:<\/p>\n

<\/p>\n