è una soluzione analitica nel campo della sicurezza informatica che fornisce un monitoraggio completo delle minacce in una rete distribuita. Alla base del funzionamento di StealthWatch c'è la raccolta di NetFlow e IPFIX da router, switch e altri dispositivi di rete. Di conseguenza, la rete diventa un sensore sensibile e consente all'amministratore di vedere luoghi inaccessibili con i metodi tradizionali di protezione della rete, come il Next Generation Firewall.
Nelle precedenti articoli ho già parlato di StealthWatch: , e inoltre . Adesso ti propongo di andare avanti e discutere di come gestire gli allarmi e indagare sugli incidenti di sicurezza generati dalla soluzione. Saranno forniti 6 esempi che, spero, daranno una buona idea dell'utilità del prodotto.
Innanzitutto, va detto che in StealthWatch c'è una certa distribuzione dei rilevamenti tra algoritmi e feed. I primi sono vari tipi di allarmi (notifiche) che, quando si attivano, possono rivelare elementi sospetti nella rete. I secondi sono gli incidenti di sicurezza. In questo articolo verranno analizzati 4 esempi di attivazione degli algoritmi e 2 esempi di feed.
1. Analisi delle interazioni più voluminose all'interno della rete
Il passo iniziale nella configurazione di StealthWatch è definire gli host e le reti per gruppi. Nell'interfaccia web, la scheda Configure > Host Group Management deve essere utilizzata per distribuire le reti, gli host e i server nei rispettivi gruppi. È possibile creare anche gruppi personalizzati. A proposito, l'analisi delle interazioni tra host in Cisco StealthWatch è piuttosto comoda, in quanto è possibile non solo salvare i filtri di ricerca per i flussi, ma anche i risultati stessi.
Per iniziare, nell'interfaccia web, è opportuno andare alla scheda Analyze > Flow Search. Poi è necessario impostare i seguenti parametri:
- Search Type — Top Conversations (le interazioni più popolari)
- Time Range — 24 hours (intervallo di tempo, è possibile utilizzare un altro)
- Search Name — Top Conversations Inside-Inside (qualunque nome comprensibile)
- Subject — Host Groups → Inside Hosts (sorgente — gruppo di nodi interni)
- Connection (è possibile specificare porte, applicazioni)
- Peer — Host Groups → Inside Hosts (destinazione — gruppo di nodi interni)
- Nelle Advanced Options è possibile anche specificare il collettore da cui si visualizzano i dati, l'ordinamento dell'output (per byte, flussi e altro). Lascio le impostazioni di default.
Dopo aver premuto il pulsante Cerca viene emesso un elenco delle interazioni, già ordinate in base alla quantità di dati trasferiti.
Nel mio esempio, l'host 10.150.1.201 (server) ha trasferito solo all'interno di un singolo flusso 1.5 GB di traffico all'host 10.150.1.200 (cliente) tramite il protocollo mysql. Il pulsante Gestisci colonne consente di aggiungere più colonne ai dati visualizzati.
Successivamente, a discrezione dell'amministratore, è possibile creare una regola personalizzata che si attiverà costantemente per questo tipo di interazioni e invierà notifiche tramite SNMP, email o Syslog.
2. Analisi delle interazioni client-server più lente all'interno della rete per identificare i ritardi
Tag SRT (Server Response Time), RTT (Round Trip Time) permettono di determinare i ritardi dei server e i ritardi complessivi nella rete. Questo strumento è particolarmente utile per trovare rapidamente la causa delle lamentele degli utenti riguardo alle applicazioni che funzionano lentamente.
Nota: praticamente tutti gli esportatori Netflow non sono in grado di inviando etichette SRT, RTT, spesso per vedere tali dati su FlowSensor è necessario configurare l'invio di una copia del traffico dai dispositivi di rete. FlowSensor, a sua volta, fornisce IPFIX avanzato a FlowCollector.
È più comodo condurre questa analisi nell'applicazione Java StealthWatch, che viene installata sul computer dell'amministratore.
Fai clic destro su Inside Hosts e vai alla scheda Tabella flusso.
Facciamo clic su Filter e impostiamo i parametri necessari. Come esempio:
- Data/Ora — Negli ultimi 3 giorni
- Performance — Tempo medio di round trip >=50ms
Dopo aver visualizzato i dati, è necessario aggiungere i campi RTT, SRT di nostro interesse. Per fare ciò, fare clic sulla colonna nello screenshot e scegliere con il pulsante destro del mouse Gestisci colonne. Successivamente fare clic sui parametri RTT, SRT.
Dopo aver elaborato la richiesta, ho ordinato per RTT medio e ho visto le interazioni più lente.
Per approfondire le informazioni dettagliate, è necessario fare clic destro sul flusso e scegliere Visualizzazione rapida del flusso.
Queste informazioni indicano che l'host 10.201.3.59 del gruppo Sales and Marketing utilizzando il protocollo NFS si riferisce a al server DNS per un minuto e 23 secondi e presenta un ritardo davvero terribile. Nella scheda Interfacce è possibile scoprire da quale esportatore Netflow sono state ottenute le informazioni. Nella scheda Tabella è riportata un'informazione più dettagliata sull'interazione.
Successivamente, bisogna scoprire quali dispositivi inviano traffico a FlowSensor e il problema è probabilmente lì.
Inoltre, StealthWatch è unico in quanto esegue deduplicazione dati (unisce gli stessi flussi). Pertanto, è possibile raccogliere praticamente da tutti i dispositivi Netflow senza temere che ci siano troppi dati duplicati. Anzi, al contrario, in questo schema aiuta a capire in quale hop ci sono le maggiori latenze.
3. Audit dei protocolli crittografici HTTPS
ETA (Encrypted Traffic Analytics) — una tecnologia sviluppata da Cisco che consente di rilevare connessioni dannose nel traffico crittografato senza decrittografarlo. Inoltre, questa tecnologia consente di 'analizzare' HTTPS nelle versioni TLS e nei protocolli crittografici utilizzati durante le connessioni. Questa funzionalità è particolarmente utile quando è necessario rilevare nodi di rete che utilizzano standard crittografici deboli.
Nota: in precedenza, è necessario installare l'applicazione di rete su StealthWatch — Audit crittografico ETA.
Passiamo alla scheda Dashboards → Audit crittografico ETA e scegliamo il gruppo di host che si intende analizzare. Per avere un quadro generale scegliamo Inside Hosts.
Si può osservare che vengono visualizzati la versione TLS e il relativo standard crittografico. Come da schema consueto, nella colonna Azioni passiamo a Visualizza flussi e inizia la ricerca in una nuova scheda.
Dall'output si vede che l'host 198.19.20.136 per un periodo di 12 ore ha utilizzato HTTPS con TLS 1.2, dove l'algoritmo di crittografia AES-256 e la funzione hash SHA-384. Pertanto, l'ETA consente di identificare algoritmi deboli nella rete.
4. Analisi delle anomalie nella rete
Cisco StealthWatch può riconoscere anomalie nel traffico di rete, utilizzando tre strumenti: Core Events (eventi di sicurezza), Relationship Events (eventi di interazione tra segmenti, nodi di rete) e analisi comportamentale.
L'analisi comportamentale, a sua volta, consente nel tempo di costruire un modello di comportamento per uno o più host o gruppi di host. Più traffico passa attraverso StealthWatch, più accurate saranno le attivazioni grazie a questa analisi. All'inizio il sistema genera molti falsi allarmi, quindi le regole devono essere 'regolate' manualmente. Consiglio di non prestare attenzione a questi eventi per le prime settimane, poiché il sistema si adatterà da solo, oppure di aggiungerli alle eccezioni.
Di seguito è riportato un esempio di regola preimpostata Anomalia, che afferma che l'evento verrà attivato senza allerta, se l'host nel gruppo Inside Hosts interagisce con il gruppo Inside Hosts e nel corso di 24 ore il traffico supera i 10 megabyte.
Prendiamo come esempio un allerta Hoarding Dati, il che significa che un host sorgente/destinazione ha caricato/scaricato una quantità anomala di dati da un gruppo di host o da un host specifico. Clicchiamo sull'evento e accediamo alla tabella che mostra gli host problematici. Successivamente, selezioniamo l'host di nostro interesse nella colonna Hoarding Dati.
Viene visualizzato un evento che indica che sono stati rilevati 162k "punti", mentre la politica consente 100k "punti" - queste sono metriche interne di StealthWatch. Nella colonna Azioni clicchiamo su Visualizza flussi.
Possiamo osservare che questo host di notte ha interagito con l'host 10.201.3.47 del dipartimento Vendite e Marketing utilizzando il protocollo HTTPS e ha scaricato 1,4 GB. Potrebbe essere che questo esempio non sia del tutto riuscito, ma il rilevamento delle interazioni anche di alcune centinaia di gigabyte avviene esattamente allo stesso modo. Pertanto, ulteriori indagini sulle anomalie possono portare a risultati interessanti.
Nota: nell'interfaccia web di SMC, i dati nelle schede Dashboard vengono visualizzati solo per l'ultima settimana e nella scheda Monitora per le ultime 2 settimane. Per analizzare eventi più risalenti e generare report, è necessario lavorare con la console Java sul computer dell'amministratore.
5. Individuazione di scansioni interne della rete
Ora esaminiamo alcuni esempi di feed - incidenti di sicurezza informatica. Questa funzionalità è più interessante per i professionisti della sicurezza.
Ci sono diversi tipi di eventi di scansione preimpostati in StealthWatch:
- Scansione delle porte - la sorgente scansiona molte porte dell'host di destinazione.
- Scansione tcp Addr - la sorgente scansiona un'intera rete su una stessa porta TCP, cambiando nel frattempo l'indirizzo IP di destinazione. In questo caso, la sorgente riceve pacchetti TCP Reset o non riceve affatto risposte.
- Scansione udp Addr - la sorgente scansiona un'intera rete su una stessa porta UDP, cambiando nel frattempo l'indirizzo IP di destinazione. In questo caso, la sorgente riceve pacchetti ICMP Port Unreachable o non riceve affatto risposte.
- Scansione Ping - la sorgente invia richieste ICMP a un'intera rete per cercare risposte.
- Scansione Stealth tcp/udp - la sorgente ha utilizzato la sua stessa porta per connettersi a molte porte dell'host di destinazione contemporaneamente.
Per trovare più comodamente tutti gli scanner interni, esiste un'app di rete per StealthWatch - Valutazione della Visibilità. Accedendo alla scheda Dashboard → Valutazione della Visibilità → Scanner di Rete Interni vedrete incidenti di sicurezza relativi alla scansione, per le ultime 2 settimane.
Cliccando sul pulsante Dettagli, sarà visibile l'inizio della scansione di ogni rete, la tendenza del traffico e le relative allerte.
Successivamente, è possibile "approfondire" l'host dalla scheda nell'immagine precedente e vedere gli eventi di sicurezza, così come l'attività dell'ultima settimana per questo host.
Come esempio, analizziamo l'evento Scansione della porta da un host 10.201.3.149 in 10.201.0.72, cliccando su Azioni > Flussi Associati. Si avvia la ricerca nei flussi e vengono visualizzate le informazioni pertinenti.
Come vediamo, questo host da una delle sue porte 51508/TCP ha scansionato 3 ore fa l'host di destinazione sulle porte 22, 28, 42, 41, 36, 40 (TCP). Alcuni campi non mostrano informazioni, o perché non tutti i campi Netflow sono supportati dall'esportatore Netflow.
6. Analisi dei malware scaricati tramite CTA
CTA (Cognitive Threat Analytics) è un'analisi cloud di Cisco che si integra perfettamente con Cisco StealthWatch e consente di integrare l'analisi senza firma con quella basata su firma. In questo modo è possibile rilevare trojan, worm di rete, malware zero-day e altri tipi di malware e la loro diffusione in rete. Inoltre, la tecnologia ETA già menzionata consente di analizzare tali comunicazioni malevole anche nel traffico crittografato.
Sulla prima scheda dell'interfaccia web è presente un widget speciale Cognitive Threat Analytics. Un riepilogo rapido mostra le minacce rilevate sugli host degli utenti: trojan, software fraudolento, adware. La parola “Crittografato” indica il funzionamento dell'ETA. Cliccando sull'host, si visualizza tutte le informazioni, compresi gli eventi di sicurezza e i registri relativi al CTA.
Passando a ciascuna fase del CTA, vengono visualizzate informazioni dettagliate sulle interazioni. Per un'analisi completa, è consigliabile cliccare su Visualizza Dettagli Incidenti, e si accederà a una console separata. Cognitive Threat Analytics.
In alto a destra, un filtro consente di visualizzare gli eventi in base al livello di criticità. Passando a un'anomalia specifica, nella parte inferiore dello schermo appaiono i registri con la relativa cronologia a destra. In questo modo, il professionista del dipartimento di sicurezza informatica comprende chiaramente quale host infetto, dopo quali azioni, ha iniziato a eseguire quali attività.
Di seguito è riportato un altro esempio: un trojan bancario che ha infettato un host 198.19.30.36. Questo host ha iniziato a interagire con domini malevoli, e nei registri è riportata l'informazione sui flussi di queste interazioni.
Una delle migliori soluzioni disponibili è mettere l'host in quarantena grazie alla nativa con Cisco ISE per ulteriori riparazioni e analisi.
Conclusione
La soluzione Cisco StealthWatch è tra i leader dei prodotti di monitoraggio della rete sia per l'analisi della rete che per la sicurezza informatica. Grazie a questo, è possibile rilevare interazioni illegittime all'interno della rete, ritardi nelle applicazioni, utenti più attivi, anomalie, malware e APT. Inoltre, è possibile scoprire attività di scansione, pentester, eseguire un'auditing crittografico del traffico HTTPS. Puoi trovare ulteriori casi d'uso su .
Se desideri verificare quanto bene e in modo efficiente funzioni la tua rete, invia .
Presto prevediamo ulteriori pubblicazioni tecniche su vari prodotti di sicurezza informatica. Se ti interessa questo argomento, segui gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
