{"id":90228,"date":"2020-07-30T01:42:34","date_gmt":"2020-07-29T23:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3"},"modified":"2020-07-30T01:42:34","modified_gmt":"2020-07-29T23:42:34","slug":"stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","title":{"rendered":"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/3efab47dd80ed8bd6a81dbca5bedcc72.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/cisco\/cisco-stealthwatch\">Cisco StealthWatch<\/a><\/noindex> \u2014 egy kiberbiztons\u00e1gi analitikai megold\u00e1s, amely \u00e1tfog\u00f3 fenyeget\u00e9sfigyel\u00e9st biztos\u00edt elosztott h\u00e1l\u00f3zatokban. A StealthWatch m\u0171k\u00f6d\u00e9se a NetFlow \u00e9s IPFIX adatainak gy\u0171jt\u00e9s\u00e9n alapul \u00fatv\u00e1laszt\u00f3kb\u00f3l, kapcsol\u00f3kb\u00f3l \u00e9s egy\u00e9b h\u00e1l\u00f3zati eszk\u00f6z\u00f6kb\u0151l. Ennek eredm\u00e9nyek\u00e9nt a h\u00e1l\u00f3zat \u00e9rz\u00e9kel\u0151v\u00e9 v\u00e1lik, amely lehet\u0151v\u00e9 teszi az adminisztr\u00e1tor sz\u00e1m\u00e1ra, hogy olyan ter\u00fcletekre l\u00e1sson be, amelyekhez a hagyom\u00e1nyos h\u00e1l\u00f3zati v\u00e9delmi m\u00f3dszerek, p\u00e9ld\u00e1ul a k\u00f6vetkez\u0151 gener\u00e1ci\u00f3s t\u0171zfal nem tudnak eljutni.<\/p>\n<p>Kor\u00e1bbi cikkekben m\u00e1r \u00edrtam a StealthWatch-r\u00f3l: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/458626\/\">els\u0151 bemutat\u00e1s \u00e9s lehet\u0151s\u00e9gek<\/a><\/noindex>, valamint <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/461831\/\">telep\u00edt\u00e9s \u00e9s be\u00e1ll\u00edt\u00e1s<\/a><\/noindex>. Most javaslom, hogy haladjunk tov\u00e1bb, \u00e9s besz\u00e9lj\u00fck meg, hogyan kell kezelni az alarmokat \u00e9s vizsg\u00e1lni a biztons\u00e1gi esem\u00e9nyeket, amelyeket a megold\u00e1s gener\u00e1l. Hat p\u00e9ld\u00e1t fogok bemutatni, amelyek szerintem j\u00f3 k\u00e9pet adnak a term\u00e9k hasznoss\u00e1g\u00e1r\u00f3l.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nEl\u0151sz\u00f6r is, \u00e9rdemes megeml\u00edteni, hogy a StealthWatch-ban bizonyos eloszl\u00e1s van az algoritmusok \u00e9s feedek k\u00f6z\u00f6tt. Az els\u0151ek k\u00fcl\u00f6nf\u00e9le alarmok (\u00e9rtes\u00edt\u00e9sek), amelyek aktiv\u00e1l\u00e1sakor gyan\u00fas dolgokat lehet felfedezni a h\u00e1l\u00f3zatban. A m\u00e1sodikak pedig biztons\u00e1gi esem\u00e9nyek. Ebben a cikkben 4 p\u00e9ld\u00e1t fogunk megvizsg\u00e1lni az algoritmusok aktiv\u00e1l\u00e1s\u00e1r\u00f3l \u00e9s 2 p\u00e9ld\u00e1t a feedekr\u0151l.<\/p>\n<h2>1. A legnagyobb interakci\u00f3k elemz\u00e9se a h\u00e1l\u00f3zaton bel\u00fcl<\/h2>\n<p>\nA StealthWatch be\u00e1ll\u00edt\u00e1s\u00e1nak kezdeti l\u00e9p\u00e9se a hosztok \u00e9s h\u00e1l\u00f3zatok csoportonk\u00e9nti meghat\u00e1roz\u00e1sa. A webes fel\u00fcleten a f\u00fcl <i>Configure &gt; Host Group Management<\/i> alatt a h\u00e1l\u00f3zatokat, hosztokat, szervereket megfelel\u0151 csoportokba kell sorolni. Saj\u00e1t csoportokat is l\u00e9trehozhatunk. \u00c9rdemes megjegyezni, hogy a Cisco StealthWatch-ban a hosztok k\u00f6z\u00f6tti interakci\u00f3k elemz\u00e9se nagyon k\u00e9nyelmes, mivel nemcsak a keres\u00e9si sz\u0171r\u0151ket lehet menteni a folyamatok szerint, hanem magukat az eredm\u00e9nyeket is.<\/p>\n<p>El\u0151sz\u00f6r is, a webes fel\u00fcleten \u00e9rdemes bel\u00e9pni a <i>Analyze &gt; Flow Search<\/i>f\u00fclre. Ezut\u00e1n a k\u00f6vetkez\u0151 param\u00e9tereket kell be\u00e1ll\u00edtani:<\/p>\n<ul>\n<li>Search Type \u2014 Top Conversations (a legn\u00e9pszer\u0171bb interakci\u00f3k)<\/li>\n<li>Time Range \u2014 24 hours (id\u0151intervallum, m\u00e1s is haszn\u00e1lhat\u00f3)<\/li>\n<li>Search Name \u2014 Top Conversations Inside-Inside (b\u00e1rmilyen \u00e9rthet\u0151 n\u00e9v)<\/li>\n<li>Subject \u2014 Host Groups \u2192 Inside Hosts (forr\u00e1s \u2014 bels\u0151 hosztok csoportja)<\/li>\n<li>Connection (meg lehet adni portokat, alkalmaz\u00e1sokat)<\/li>\n<li>Peer \u2014 Host Groups \u2192 Inside Hosts (c\u00e9l \u2014 bels\u0151 hosztok csoportja)<\/li>\n<li>Az Advanced Options r\u00e9szben tov\u00e1bbi kollektort is meg lehet adni, ahonnan az adatokat vizsg\u00e1lj\u00e1k, \u00e9s a kimenet rendez\u00e9s\u00e9t (byte-ok, folyamatok stb. szerint). Ezt alap\u00e9rtelmezettk\u00e9nt fogom hagyni.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/fefc6d925ab3b155aeea2536dddaf7da.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA gomb megnyom\u00e1sa ut\u00e1n <i>Keres\u00e9s <\/i>Megkapja a m\u00e1r rendszerezett interakci\u00f3k list\u00e1j\u00e1t, amelyeket az \u00e1tvitt adatmennyis\u00e9g szerint soroltak.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/3fa739dec55bd4a564ee78adc2ae0e91.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA p\u00e9ld\u00e1mban a host <i>10.150.1.201<\/i> (szerver) egyetlen sz\u00e1l keret\u00e9ben tov\u00e1bb\u00edtotta<i> 1,5 GB<\/i> a forgalmat a host <i>10.150.1.200<\/i> (\u00fcgyf\u00e9l) a k\u00f6vetkez\u0151 protokollon <i>mysql<\/i>. A gomb <i>Oszlopok kezel\u00e9se<\/i> lehet\u0151v\u00e9 teszi, hogy tov\u00e1bbi oszlopokat adjunk a megjelen\u00edtett adatokhoz.<\/p>\n<p>Ezut\u00e1n az adminisztr\u00e1tor saj\u00e1t bel\u00e1t\u00e1sa szerint l\u00e9trehozhat egy testreszabott szab\u00e1lyt, amely folyamatosan m\u0171k\u00f6dik ezen interakci\u00f3k sor\u00e1n, \u00e9s \u00e9rtes\u00edt\u00e9st k\u00fcld SNMP, email vagy Syslog \u00fatj\u00e1n. <\/p>\n<h2>2. A leglassabb kliens-szerver interakci\u00f3k elemz\u00e9se a h\u00e1l\u00f3zaton bel\u00fcl k\u00e9sleltet\u00e9sekkel kapcsolatban<\/h2>\n<p>\nC\u00edmk\u00e9k <b>SRT (Szerver V\u00e1laszid\u0151)<\/b>, <b>RTT (K\u00f6rutaz\u00e1si Id\u0151)<\/b> lehet\u0151v\u00e9 teszi a szerverek \u00e9s a h\u00e1l\u00f3zat \u00e1ltal\u00e1nos k\u00e9sleltet\u00e9seinek meghat\u00e1roz\u00e1s\u00e1t. Ez az eszk\u00f6z k\u00fcl\u00f6n\u00f6sen hasznos, amikor gyorsan kell megtal\u00e1lni a felhaszn\u00e1l\u00f3k panaszainak ok\u00e1t, amikor egy alkalmaz\u00e1s lassan m\u0171k\u00f6dik.<\/p>\n<p><i>Megjegyz\u00e9s<\/i>: gyakorlatilag az \u00f6sszes Netflow export\u00e1l\u00f3 <b>nem k\u00e9pes<\/b> SRT, RTT c\u00edmk\u00e9k k\u00fcld\u00e9s\u00e9re, ez\u00e9rt gyakran ahhoz, hogy l\u00e1thassuk ezeket az adatokat a FlowSensorn\u00e1l, be kell \u00e1ll\u00edtani a forgalom m\u00e1solat\u00e1nak k\u00fcld\u00e9s\u00e9t a h\u00e1l\u00f3zati eszk\u00f6z\u00f6kr\u0151l. A FlowSensor viszont kiterjesztett IPFIX-et ad \u00e1t a FlowCollector-nak.<\/p>\n<p>Ezeket az elemz\u00e9seket k\u00f6nnyebb Java alkalmaz\u00e1sban v\u00e9gezni, mint p\u00e9ld\u00e1ul a StealthWatch, amelyet az adminisztr\u00e1tor sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9re telep\u00edtenek.<\/p>\n<p>Jobb klikk a <i>Bels\u0151 hosztok<\/i> elemre, majd l\u00e9pj\u00fcnk a <i>Forgalmi t\u00e1bl\u00e1zat<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/3a23cf8219fc2ad44eeab7da27d5e696.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nelemre. Kattintsunk a <i>Filter <\/i>gombra \u00e9s \u00e1ll\u00edtsuk be a sz\u00fcks\u00e9ges param\u00e9tereket. P\u00e9ldak\u00e9nt:<\/p>\n<ul>\n<li>D\u00e1tum\/id\u0151 \u2014 Az elm\u00falt 3 napra<\/li>\n<li>Teljes\u00edtm\u00e9ny \u2014 \u00c1tlagos k\u00f6rutaz\u00e1si id\u0151 &gt;=50 ms<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/c7c717e336dc96fce48f05bc735cd14a.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/a0aad8dfa8e759f22486716221ddac82.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAz adatok megjelen\u00edt\u00e9se ut\u00e1n hozz\u00e1 kell adni az \u00e9rdekl\u0151d\u00e9s\u00fcnkre sz\u00e1mot tart\u00f3 RTT, SRT mez\u0151ket. Ehhez kattintsunk a k\u00e9perny\u0151n l\u00e1that\u00f3 oszlopra, majd jobb klikkelj\u00fcnk \u00e9s v\u00e1lasszuk a <i>Oszlopok kezel\u00e9se<\/i>. Ezut\u00e1n v\u00e1lasszuk ki az RTT, SRT param\u00e9tereket.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/069660512595d149353ea98b9fb7c828.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA k\u00e9r\u00e9s feldolgoz\u00e1sa ut\u00e1n az RTT \u00e1tlag szerint szort\u00edroztam, \u00e9s l\u00e1ttam a leglassabb interakci\u00f3kat.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/669e24fabc650d607b4767c50345a12b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA r\u00e9szletes inform\u00e1ci\u00f3khoz kattintson jobb gombbal az \u00e1ramlatra, \u00e9s v\u00e1lassza a <i>Gyors n\u00e9zet az \u00e1ramlat sz\u00e1m\u00e1ra<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/6e03114b9cdbbef516d65cdc43c6b3e2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEz az inform\u00e1ci\u00f3 azt mutatja, hogy a host <i>10.201.3.59<\/i> a k\u00f6vetkez\u0151 csoportban <i>\u00c9rt\u00e9kes\u00edt\u00e9s \u00e9s Marketing<\/i> a DNS szerverhez <i>NFS<\/i> fordul <i>tov\u00e1bb\u00edtott 1 perc 23 m\u00e1sodpercen kereszt\u00fcl, \u00e9s rendk\u00edv\u00fcl rossz k\u00e9sleltet\u00e9se van. A f\u00fcl\u00f6n<\/i> meg lehet tudni, hogy melyik Netflow export\u0151rt\u0151l sz\u00e1rmazik az inform\u00e1ci\u00f3. A f\u00fcl\u00f6n <i>Interfaces <\/i>t\u00f6bb r\u00e9szletes inform\u00e1ci\u00f3 tal\u00e1lhat\u00f3 az interakci\u00f3r\u00f3l. <i>adatok t\u00e1bl\u00e1zatra t\u00f6rt\u00e9n\u0151 tov\u00e1bb\u00edt\u00e1s\u00e1hoz. <\/i> Ezut\u00e1n meg kell tudni, hogy mely eszk\u00f6z\u00f6k k\u00fcldenek forgalmat a FlowSensornak, \u00e9s a probl\u00e9ma val\u00f3sz\u00edn\u0171leg ott rejlik.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/66750a2e003972cabdea60096397f8be.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nTov\u00e1bb\u00e1, a StealthWatch egyedi azzal, hogy v\u00e9grehajtja a<\/p>\n<p>deduplik\u00e1ci\u00f3t. <b>deduplik\u00e1ci\u00f3<\/b> adatok (\u00f6sszevonja ugyanazokat az adatfolyamokat). K\u00f6vetkez\u00e9sk\u00e9ppen szinte minden Netflow-eszk\u00f6zb\u0151l gy\u0171jthet\u00fcnk, \u00e9s nem kell agg\u00f3dnunk a sok ism\u00e9tl\u0151d\u0151 adat miatt. \u00c9ppen ellenkez\u0151leg, ebben a rendszeren seg\u00edt meg\u00e9rteni, hogy melyik hopn\u00e1l vannak a legnagyobb k\u00e9s\u00e9sek.<\/p>\n<h2>3. HTTPS kriptogr\u00e1fiai protokollok audit\u00e1l\u00e1sa<\/h2>\n<p>\n<b>ETA (Encrypted Traffic Analytics)<\/b> \u2014 a Cisco \u00e1ltal kifejlesztett technol\u00f3gia, amely lehet\u0151v\u00e9 teszi a rosszindulat\u00fa kapcsolatok \u00e9szlel\u00e9s\u00e9t titkos\u00edtott forgalomban an\u00e9lk\u00fcl, hogy annak dek\u00f3dol\u00e1s\u00e1ra lenne sz\u00fcks\u00e9g. R\u00e1ad\u00e1sul ez a technol\u00f3gia lehet\u0151v\u00e9 teszi a HTTPS verzi\u00f3k \u00e9s a csatlakoz\u00e1sokn\u00e1l haszn\u00e1lt kriptogr\u00e1fiai protokollok \"bont\u00e1s\u00e1t\". Ez a funkci\u00f3 k\u00fcl\u00f6n\u00f6sen hasznos, ha a gyenge kript\u00f3standartokat alkalmaz\u00f3 h\u00e1l\u00f3zati csom\u00f3pontokat szeretn\u00e9nk \u00e9szlelni.<\/p>\n<p><i>Megjegyz\u00e9s<\/i>: el\u0151sz\u00f6r telep\u00edten\u00fcnk kell a StealthWatch network app-ot \u2014 <b>ETA Kriptogr\u00e1fiai Audit<\/b>.<\/p>\n<p>L\u00e9pj\u00fcnk a <i>Ir\u00e1ny\u00edt\u00f3pultok \u2192 ETA Kriptogr\u00e1fiai Audit<\/i> \u00e9s v\u00e1lasztjuk ki azt a hosztcsoportot, amelyet elemezni szeretn\u00e9nk. Az \u00e1ltal\u00e1nos k\u00e9p \u00e9rdek\u00e9ben v\u00e1lasszunk <i>Bels\u0151 hosztok<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/2cac9b02089c027cc7908ce018638a68.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMegfigyelhetj\u00fck, hogy a TLS verzi\u00f3 \u00e9s a megfelel\u0151 kript\u00f3standart jelenik meg. A megszokott s\u00e9ma szerint az oszlopban <i>Actions <\/i>l\u00e9pj\u00fcnk a <i>View Flows<\/i> men\u00fcpontra, \u00e9s a keres\u00e9s \u00faj f\u00fcl\u00f6n elindul.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/0b0a274b1538e58ad74a17e2a4eee160.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/ad99bdd25cd02247b6e76240fdd7edd6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA kimenetb\u0151l l\u00e1that\u00f3, hogy a hoszt <i>198.19.20.136<\/i> 12 \u00f3r\u00e1n kereszt\u00fcl <i>HTTPS-t haszn\u00e1lt TLS 1.2-vel, ahol a titkos\u00edt\u00e1si algoritmus<\/i> \u00e9s a hash-f\u00fcggv\u00e9ny <i>AES-256<\/i> SHA-384 <i>. \u00cdgy az ETA lehet\u0151v\u00e9 teszi a gyenge algoritmusok megtal\u00e1l\u00e1s\u00e1t a h\u00e1l\u00f3zatban.<\/i>4. A h\u00e1l\u00f3zati anom\u00e1li\u00e1k elemz\u00e9se<\/p>\n<h2>A Cisco StealthWatch k\u00e9pes \u00e9szlelni a forgalom anom\u00e1li\u00e1it a h\u00e1l\u00f3zatban, h\u00e1rom eszk\u00f6zt haszn\u00e1lva:<\/h2>\n<p>\nCore Events <b>(biztons\u00e1gi esem\u00e9nyek),<\/b> Relationship Events <b>(szegmensek k\u00f6z\u00f6tti interakci\u00f3s esem\u00e9nyek \u00e9s h\u00e1l\u00f3zati csom\u00f3pontok) \u00e9s<\/b> viselked\u00e9selemz\u00e9s <b>A viselked\u00e9selemz\u00e9s lehet\u0151v\u00e9 teszi, hogy id\u0151vel egy adott hoszt vagy hosztcsoport viselked\u00e9si modellj\u00e9t \u00e9p\u00edts\u00fck fel. Min\u00e9l t\u00f6bb forgalom halad \u00e1t a StealthWatch-on, ann\u00e1l pontosabbak lesznek az \u00e9rtes\u00edt\u00e9sek a seg\u00edts\u00e9g\u00e9vel. Kezdetben a rendszer sok t\u00e9ves riaszt\u00e1st gener\u00e1l, ez\u00e9rt a szab\u00e1lyokat \u00e9rdemes \"finomhangolni\" k\u00e9zzel. Javaslom, hogy az els\u0151 n\u00e9h\u00e1ny h\u00e9tben ne figyelj\u00fcnk ezekre az esem\u00e9nyekre, mivel a rendszer mag\u00e1t\u00f3l alkalmazkodik, vagy pedig tegy\u00fck \u0151ket kiv\u00e9telek k\u00f6z\u00e9.<\/b>.<\/p>\n<p>Az al\u00e1bbiakban egy el\u0151re be\u00e1ll\u00edtott szab\u00e1ly p\u00e9ld\u00e1ja tal\u00e1lhat\u00f3<\/p>\n<p>Anomaly <i>, amelyben a k\u00f6vetkez\u0151 \u00e1ll:<\/i>az esem\u00e9ny riaszt\u00e1s n\u00e9lk\u00fcl fog m\u0171k\u00f6dni, ha <i>a hoszt az Inside Hosts csoportban k\u00f6lcs\u00f6nhat\u00e1sba l\u00e9p az Inside Hosts csoporttal, \u00e9s 24 \u00f3ra alatt a forgalom meghaladja a 10 megab\u00e1jtot<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/9f13165149dfab7e6cf5cf038e1573e5.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nP\u00e9ldak\u00e9nt vegy\u00fck a riaszt\u00e1st <i>Data Hoarding<\/i>, ami azt jelenti, hogy egy forr\u00e1s-\/c\u00e9lhoszt anom\u00e1lisan nagy mennyis\u00e9g\u0171 adatot t\u00f6lt\u00f6tt le\/\u00fajrat\u00f6lt\u00f6tt egy hosztcsoportt\u00f3l vagy hosztb\u00f3l. Kattintsunk az esem\u00e9nyre, \u00e9s m\u00e9lyebbre mer\u00fcl\u00fcnk az adatb\u00e1zisban, ahol a riaszt\u00f3 hosztok szerepelnek. Ezut\u00e1n v\u00e1lasszuk ki a minket \u00e9rdekl\u0151 hosztot az oszlopban. <i>Data Hoarding<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/5bac3325f9f34342802d115c4a13bf39.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/5e065344005db20d276a800d8362a347.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMegjelenik egy esem\u00e9ny, amely arr\u00f3l t\u00e1j\u00e9koztat, hogy 162k \u201epontot\u201d \u00e9szleltek, m\u00edg a politika 100k \u201epontot\u201d enged\u00e9lyez \u2013 ez a StealthWatch bels\u0151 metrik\u00e1i. Az oszlopban <i>Actions <\/i>kattintsunk <i>View Flows<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/352df8d925fe46246a35677482d65030.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMegfigyelhetj\u00fck, hogy <i>ez a hoszt<\/i> \u00e9jjel kapcsolatba l\u00e9pett a k\u00f6vetkez\u0151 hoszttal <i>10.201.3.47<\/i> a r\u00e9szlegb\u0151l <i>\u00c9rt\u00e9kes\u00edt\u00e9s \u00e9s marketing<\/i> a DNS szerverhez <i>HTTPS <\/i>\u00e9s let\u00f6lt\u00f6tt <i>1,4 GB<\/i>. Ez a p\u00e9lda lehet, hogy nem a legjobb, de a kapcsolatok \u00e9szlel\u00e9se ak\u00e1r t\u00f6bb sz\u00e1z gigab\u00e1jt eset\u00e9n is pontosan \u00edgy t\u00f6rt\u00e9nik. K\u00f6vetkez\u00e9sk\u00e9ppen a anom\u00e1li\u00e1k tov\u00e1bbi vizsg\u00e1lata \u00e9rdekes eredm\u00e9nyekhez vezethet.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/923992706b36b18d2709feb444f7cf14.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>Megjegyz\u00e9s<\/i>: a SMC webes fel\u00fclet\u00e9n az adatok a k\u00f6vetkez\u0151 f\u00fcl\u00f6n tal\u00e1lhat\u00f3k <i>Dashboardok <\/i>csak az elm\u00falt h\u00e9tre vonatkoznak, \u00e9s a <i>Monitor<\/i> az elm\u00falt 2 h\u00e9tre vonatkozik. Az r\u00e9gebbi esem\u00e9nyek elemz\u00e9s\u00e9hez \u00e9s a jelent\u00e9sek gener\u00e1l\u00e1s\u00e1hoz az adminisztr\u00e1tor sz\u00e1m\u00edt\u00f3g\u00e9p\u00e9n a Java konzollal kell dolgozni.<\/p>\n<h2>5. Bels\u0151 h\u00e1l\u00f3zati szkennel\u00e9sek azonos\u00edt\u00e1sa<\/h2>\n<p>\nMost n\u00e9zz\u00fcnk meg n\u00e9h\u00e1ny p\u00e9ld\u00e1t az informatikai biztons\u00e1gi esem\u00e9nyekre. Ez a funkci\u00f3 ink\u00e1bb a biztons\u00e1gi szakemberek sz\u00e1m\u00e1ra \u00e9rdekes.<\/p>\n<p>T\u00f6bb el\u0151re be\u00e1ll\u00edtott szkennel\u00e9si esem\u00e9nyt\u00edpus tal\u00e1lhat\u00f3 a StealthWatch-ban:<\/p>\n<ul>\n<li>Port Scan - a forr\u00e1s sok \u00e1llom\u00e1s portj\u00e1t szkennel.<\/li>\n<li>Addr TCP scan - a forr\u00e1s eg\u00e9sz h\u00e1l\u00f3zatot szkennel egyetlen TCP porton, k\u00f6zben megv\u00e1ltoztatja a c\u00e9l IP c\u00edmet. Ezen id\u0151 alatt a forr\u00e1s TCP Reset csomagokat kap vagy egy\u00e1ltal\u00e1n nem kap v\u00e1laszt.<\/li>\n<li>Addr UDP scan - a forr\u00e1s eg\u00e9sz h\u00e1l\u00f3zatot szkennel egyetlen UDP porton, k\u00f6zben megv\u00e1ltoztatja a c\u00e9l IP c\u00edmet. Ezen id\u0151 alatt a forr\u00e1s ICMP Port Unreachable csomagokat kap vagy egy\u00e1ltal\u00e1n nem kap v\u00e1laszt.<\/li>\n<li>Ping Scan - a forr\u00e1s ICMP k\u00e9r\u00e9seket k\u00fcld egy eg\u00e9sz h\u00e1l\u00f3zatra a v\u00e1laszok keres\u00e9s\u00e9nek c\u00e9lj\u00e1b\u00f3l.<\/li>\n<li>Stealth Scan TCP\/UDP - a forr\u00e1s ugyanazt a portj\u00e1t haszn\u00e1lta a c\u00e9lhoszt sok portj\u00e1hoz val\u00f3 csatlakoz\u00e1shoz egy id\u0151ben.<\/li>\n<\/ul>\n<p>\nMivel a bels\u0151 szkennerek egyszer\u0171bb azonos\u00edt\u00e1s\u00e1hoz l\u00e9tezik egy h\u00e1l\u00f3zati alkalmaz\u00e1s a <i>StealthWatch - L\u00e1tv\u00e1ny\u00e9rt\u00e9kel\u00e9s<\/i>. Kattintson a <i>Dashboardok \u2192 L\u00e1tv\u00e1ny\u00e9rt\u00e9kel\u00e9s \u2192 Bels\u0151 h\u00e1l\u00f3zati szkennerek<\/i> men\u00fcpontra, ahol az elm\u00falt 2 h\u00e9t biztons\u00e1gi esem\u00e9nyei a szkennel\u00e9sr\u0151l l\u00e1that\u00f3k.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/eb72d246b44752e8441afd500178fc02.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA gomb megnyom\u00e1s\u00e1val <i>R\u00e9szletek<\/i>, l\u00e1that\u00f3 lesz a h\u00e1l\u00f3zatok vizsg\u00e1lat\u00e1nak kezdete, a forgalmi trendek \u00e9s a megfelel\u0151 riaszt\u00e1sok.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/b4ef9ec46040cdab026b83d03eda615f.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEzt k\u00f6vet\u0151en \"be lehet m\u00e9lyedni\" a hostba az el\u0151z\u0151 k\u00e9perny\u0151n l\u00e1that\u00f3 f\u00fclr\u0151l, \u00e9s megtekinthetj\u00fck a biztons\u00e1gi esem\u00e9nyeket, valamint az elm\u00falt h\u00e9t aktivit\u00e1s\u00e1t ezzel a hosttal kapcsolatban.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/7f8d57e2d29930fcd5febf5a44cca714.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/7ce0e489618c072958a3416e342900eb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nP\u00e9ldak\u00e9nt elemezz\u00fck az esem\u00e9nyt <i>Port Scan<\/i> a hostb\u00f3l <i>10.201.3.149<\/i> Gyorsan eml\u00e9kezz\u00fcnk vissza, hogyan m\u0171k\u00f6dik a modul\u00e1ris aritmetika. Az \u00f3ra m\u00e1r egy ismert koncepci\u00f3. Az \u00f3r\u00e1k haszn\u00e1lata <i>10.201.0.72<\/i>, a <i>M\u0171veletek &gt; Kapcsol\u00f3d\u00f3 \u00c1raml\u00e1sok<\/i>. Elindul a keres\u00e9s az \u00e1raml\u00e1sok k\u00f6z\u00f6tt \u00e9s relev\u00e1ns inform\u00e1ci\u00f3k jelennek meg.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/07f86540fae01171c8dfea68c8451a47.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAhogy l\u00e1tjuk, ez a host az egyik portj\u00e1r\u00f3l <i>51508\/TCP<\/i> 3 \u00f3r\u00e1ja szkennelte a c\u00e9lsz\u00e1m\u00edt\u00f3g\u00e9pet a k\u00f6vetkez\u0151 portokon:<i> 22, 28, 42, 41, 36, 40 (TCP)<\/i>. N\u00e9h\u00e1ny mez\u0151 nem jelen\u00edt meg inform\u00e1ci\u00f3t, vagy az\u00e9rt, mert nem minden Netflow mez\u0151 t\u00e1mogatott a Netflow export\u00e1l\u00f3n.<\/p>\n<h2>6. Let\u00f6lt\u00f6tt rosszindulat\u00fa programok elemz\u00e9se a CTA seg\u00edts\u00e9g\u00e9vel<\/h2>\n<p>\n<b>CTA (Cognitive Threat Analytics)<\/b> \u2014 egy felh\u0151alap\u00fa Cisco analitika, amely kiv\u00e1l\u00f3an integr\u00e1lhat\u00f3 a Cisco StealthWatch-szal, \u00e9s lehet\u0151v\u00e9 teszi a signature-mentes elemz\u00e9s kieg\u00e9sz\u00edt\u00e9s\u00e9t al\u00e1\u00edr\u00e1sos elemz\u00e9ssel. Ez\u00e1ltal lehet\u0151v\u00e9 v\u00e1lik a tr\u00f3jai v\u00edrusok, h\u00e1l\u00f3zati f\u00e9rgek, nulladik napi fenyeget\u00e9sek \u00e9s m\u00e1s rosszindulat\u00fa programok \u00e9s azok bels\u0151 h\u00e1l\u00f3zati terjed\u00e9s\u00e9nek \u00e9szlel\u00e9se. Az eml\u00edtett ETA technol\u00f3gia szint\u00e9n lehet\u0151v\u00e9 teszi az ilyen rosszindulat\u00fa kommunik\u00e1ci\u00f3k elemz\u00e9s\u00e9t titkos\u00edtott forgalomban.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/68d86dc9686e2f0c754181db73411ab8.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nM\u00e1r az els\u0151 f\u00fcl\u00f6n a webes fel\u00fcleten tal\u00e1lhat\u00f3 egy k\u00fcl\u00f6n widget <i>Cognitive Threat Analytics<\/i>. A r\u00f6vid \u00f6sszegz\u00e9s \u00f6sszefoglalja a felhaszn\u00e1l\u00f3i hostokon \u00e9szlelt fenyeget\u00e9seket: tr\u00f3jai, csal\u00f3 szoftver, k\u00e9nyszer\u00edt\u0151 rekl\u00e1m szoftver. Az \"Encrypted\" sz\u00f3 jelzi az ETA m\u0171k\u00f6d\u00e9s\u00e9t. A hostra kattintva megjelenik minden inform\u00e1ci\u00f3, bele\u00e9rtve a biztons\u00e1gi esem\u00e9nyeket \u00e9s a CTA napl\u00f3it.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/a49a2ae655c1dfa89cdcb194c8f38c51.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/f6bbe9585060ecb46712584924125fa3.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMinden CTA l\u00e9p\u00e9s felett \u00e1llva r\u00e9szletes inform\u00e1ci\u00f3k jelennek meg az interakci\u00f3r\u00f3l. A teljes elemz\u00e9shez \u00e9rdemes r\u00e1kattintani a <i>Incidens R\u00e9szletek Megtekint\u00e9se<\/i>, \u00e9s egy k\u00fcl\u00f6n konzolra jutsz <i>Cognitive Threat Analytics<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/8737a4da2133ee4b72e830f9208f4d11.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA jobb fels\u0151 sarokban a sz\u0171r\u0151 lehet\u0151v\u00e9 teszi az esem\u00e9nyek megjelen\u00edt\u00e9s\u00e9t a kritikus szint szerint. Ha egy adott anom\u00e1li\u00e1ra \u00e1llunk, az k\u00e9perny\u0151 alj\u00e1n a megfelel\u0151 id\u0151vonal\u00fa napl\u00f3k jelennek meg. Ezzel a kiberbiztons\u00e1gi szakember pontosan meg\u00e9rti, hogy melyik fert\u0151z\u00f6tt host melyik m\u0171velet ut\u00e1n kezdett el bizonyos tev\u00e9kenys\u00e9geket folytatni.<\/p>\n<p>Al\u00e1bb egy m\u00e1sik p\u00e9lda l\u00e1that\u00f3 \u2014 egy banki tr\u00f3jai, amellyel a host megfert\u0151z\u0151d\u00f6tt. <i>198.19.30.36<\/i>Ez a host interakci\u00f3ba l\u00e9pett a rosszindulat\u00fa domainekkel, \u00e9s a napl\u00f3k bemutatj\u00e1k az ilyen interakci\u00f3k \u00e1raml\u00e1saira vonatkoz\u00f3 inform\u00e1ci\u00f3kat. <\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/d5faba6e8ec2addff8e18b83548e65fe.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<img decoding=\"async\" alt=\"StealthWatch: incidens elemz\u00e9s \u00e9s nyomoz\u00e1s. 3. r\u00e9sz\" src=\"\/wp-content\/uploads\/2020\/07\/a5f880407468b6fc62805d68c2d672cb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAz egyik legjobb megold\u00e1s, amely lehet, hogy seg\u00edthet, az, hogy a hosztot karant\u00e9nba helyezz\u00fck egy nat\u00edv <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/511726\/\">integr\u00e1ci\u00f3j\u00e1nak <\/a><\/noindex>Cisco ISE seg\u00edts\u00e9g\u00e9vel a tov\u00e1bbi kezel\u00e9s \u00e9s elemz\u00e9s \u00e9rdek\u00e9ben. <\/p>\n<h2>Z\u00e1r\u00e1s<\/h2>\n<p>\nA Cisco StealthWatch megold\u00e1s a h\u00e1l\u00f3zati monitoring term\u00e9kek k\u00f6z\u00f6tt az egyik vezet\u0151 helyen \u00e1ll, mind a h\u00e1l\u00f3zatelemz\u00e9s, mind az inform\u00e1ci\u00f3biztons\u00e1g ter\u00fclet\u00e9n. Ezzel az eszk\u00f6zzel \u00e9szlelhetj\u00fck a h\u00e1l\u00f3zaton bel\u00fcli illegitim interakci\u00f3kat, az alkalmaz\u00e1sok k\u00e9sleltet\u00e9s\u00e9t, a legakt\u00edvabb felhaszn\u00e1l\u00f3kat, anom\u00e1li\u00e1kat, k\u00e1rtev\u0151ket \u00e9s APT-t. Tov\u00e1bb\u00e1, k\u00e9pesek vagyunk azonos\u00edtani a szkennel\u00e9seket, a penetr\u00e1ci\u00f3s tesztel\u0151ket, elv\u00e9gezni a HTTPS forgalom kriptoauditj\u00e1t. M\u00e9g t\u00f6bb haszn\u00e1lati esetet tal\u00e1lhat a <noindex><a rel=\"nofollow\" href=\"https:\/\/cisco.bravais.com\/s\/lnmF3Eowwg51t7Rj9DtD\">linkre kattintva<\/a><\/noindex>.<\/p>\n<p>Ha szeretn\u00e9 ellen\u0151rizni, hogy a h\u00e1l\u00f3zat\u00e1n minden sim\u00e1n \u00e9s hat\u00e9konyan m\u0171k\u00f6dik-e, k\u00fcldj\u00f6n <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/cisco\/cisco-stealthwatch\">ig\u00e9nyl\u00e9st<\/a><\/noindex>. <br \/>\nHamarosan t\u00f6bb technikai publik\u00e1ci\u00f3t tervez\u00fcnk k\u00fcl\u00f6nb\u00f6z\u0151 IB term\u00e9kekr\u0151l. Ha \u00e9rdekli a t\u00e9ma, k\u00f6vesse friss\u00edt\u00e9seinket csatorn\u00e1inkon (<noindex><a rel=\"nofollow\" href=\"https:\/\/t.me\/tssolution\">Telegram<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.facebook.com\/tssolution2020\/\">Facebook<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/vk.com\/ts_solution\">VK<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/blog\">TS Solution Blog<\/a><\/noindex>)!<br \/>\n<br \/>Forr\u00e1s: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/509812\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>Cisco StealthWatch \u2014 \u044d\u0442\u043e \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0432 \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0418\u0411, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u0435\u0442 \u0432\u0441\u0435\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0443\u0433\u0440\u043e\u0437 \u0432 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. \u0412 \u043e\u0441\u043d\u043e\u0432\u0435 \u0440\u0430\u0431\u043e\u0442\u044b StealthWatch \u043b\u0435\u0436\u0438\u0442 \u0441\u0431\u043e\u0440 NetFlow \u0438 IPFIX \u0441 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432, \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0441\u0435\u0442\u044c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u0441\u0435\u043d\u0441\u043e\u0440\u043e\u043c \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0443 \u0437\u0430\u0433\u043b\u044f\u043d\u0443\u0442\u044c \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043d\u0435 \u043c\u043e\u0433\u0443\u0442 \u0434\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0442\u0440\u0430\u0434\u0438\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0437\u0430\u0449\u0438\u0442\u044b \u0441\u0435\u0442\u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Next Generation [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":90229,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-90228","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"hu_HU\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47StealthWatch: \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. \u0427\u0430\u0441\u0442\u044c 3 | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-07-29T23:42:34+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-07-29T23:42:34+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47StealthWatch: incidensek elemz\u00e9se \u00e9s kivizsg\u00e1l\u00e1sa. 3. r\u00e9sz | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47StealthWatch: \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. \u0427\u0430\u0441\u0442\u044c 3 | ProHoster","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-07-29T23:42:34+00:00","article:modified_time":"2020-07-29T23:42:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"90228","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:55:29","updated":"2022-10-02 06:01:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/90228","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=90228"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/90228\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/90229"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=90228"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=90228"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=90228"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}