è una soluzione analitica nel campo della sicurezza informatica, che fornisce un monitoraggio completo delle minacce in una rete distribuita. Alla base del funzionamento di StealthWatch c'è la raccolta di NetFlow e IPFIX da router, switch e altri dispositivi di rete. Di conseguenza, la rete diventa un sensore attento e consente all'amministratore di vedere dove le metodologie tradizionali di protezione della rete, come il Next Generation Firewall, non possono arrivare.
Nei miei articoli precedenti ho già parlato di StealthWatch: , così come . Ora propongo di andare avanti e discutere di come gestire gli allarmi e indagare sugli incidenti di sicurezza generati dalla soluzione. Saranno forniti 6 esempi che, spero, daranno una buona comprensione dell'utilità del prodotto.
Innanzitutto, è importante notare che StealthWatch presenta una certa distribuzione degli eventi su algoritmi e feed. I primi sono vari tipi di allarmi (notifiche) che, quando attivati, possono rivelare comportamenti sospetti nella rete. I secondi sono incidenti di sicurezza. In questo articolo verranno esaminati 4 esempi di attivazione di algoritmi e 2 esempi di feed.
1. Analisi delle interazioni più significative all'interno della rete
Il primo passo per configurare StealthWatch è identificare host e reti per gruppi. Nell'interfaccia web la scheda Configure > Host Group Management dovrebbe essere utilizzata per organizzare reti, host e server nelle opportune categorie. È possibile anche creare gruppi personalizzati. A proposito, l'analisi delle interazioni tra host in Cisco StealthWatch è piuttosto comoda, in quanto consente non solo di salvare filtri di ricerca per flussi, ma anche i risultati stessi.
Per iniziare, nell'interfaccia web è necessario andare sulla scheda Analyze > Flow Search. Successivamente, è necessario impostare i seguenti parametri:
- Search Type — Top Conversations (le interazioni più comuni)
- Time Range — 24 hours (intervallo di tempo, è possibile utilizzare un altro)
- Search Name — Top Conversations Inside-Inside (qualunque nome significativo)
- Oggetto — Gruppi di host → All'interno degli host (fonte — gruppo di nodi interni)
- Connessione (è possibile specificare porte, applicazioni)
- Peer — Gruppi di host → All'interno degli host (destinazione — gruppo di nodi interni)
- Nelle Opzioni avanzate è possibile specificare ulteriormente il collezionista da cui visualizzare i dati, l'ordinamento dell'output (per byte, flussi e altro). Lo lascerò di default.
Dopo aver premuto il pulsante Cerca verrà emesso un elenco delle interazioni già ordinate per volume di dati trasmessi.
Nel mio esempio, l'host 10.150.1.201 (server) ha trasferito nell'ambito di un solo flusso 1,5 GB traffico all'host 10.150.1.200 (cliente) attraverso il protocollo mysql. Il pulsante Gestisci colonne consente di aggiungere ulteriori colonne ai dati visualizzati.
Successivamente, a discrezione dell'amministratore, è possibile creare una regola personalizzata che verrà attivata costantemente per questo tipo di interazioni e avviserà tramite SNMP, email o Syslog.
2. Analisi delle interazioni client-server più lente all'interno della rete per verificare i ritardi
Etichette SRT (Tempo di risposta del server), RTT (Tempo di andata e ritorno) permettono di identificare i ritardi dei server e i ritardi complessivi nella rete. Questo strumento è particolarmente utile quando è necessario trovare rapidamente la causa delle lamentele degli utenti riguardo a un'applicazione che funziona lentamente.
Nota: praticamente tutti gli esportatori Netflow non sono in grado di inviare etichette SRT, RTT, pertanto spesso, per visualizzare tali dati su FlowSensor, è necessario configurare l'invio di una copia del traffico dai dispositivi di rete. FlowSensor, a sua volta, restituisce un IPFIX esteso a FlowCollector.
Questa analisi è più comoda da eseguire nell'applicazione Java StealthWatch, che si installa sul computer dell'amministratore.
Fai clic con il tasto destro del mouse su Inside Hosts e passiamo alla scheda Flow Table.
Clicchiamo su Filter e impostiamo i parametri necessari. Ad esempio:
- Data/Ora — Negli ultimi 3 giorni
- Prestazioni — Average Round Trip Time >=50ms
Dopo aver visualizzato i dati, dobbiamo aggiungere i campi RTT, SRT che ci interessano. A tal fine, è necessario fare clic sulla colonna nello screenshot e con il tasto destro del mouse selezionare Gestisci colonne. Successivamente, clicca sui parametri RTT, SRT.
Dopo aver elaborato la richiesta, ho ordinato per RTT medio e ho visto le interazioni più lente.
Per approfondire le informazioni, è necessario fare clic con il tasto destro del mouse sul flusso e selezionare Quick View for Flow.
Queste informazioni indicano che l'host 10.201.3.59 appartiene al gruppo Sales and Marketing tramite il protocollo NFS si riferisce a al server DNS per un minuto e 23 secondi e ha una latenza davvero orribile. Nella scheda Interfacce è possibile scoprire da quale esportatore di dati Netflow è stata ottenuta l'informazione. Nella scheda Tabella è mostrata un'informazione più dettagliata sull'interazione.
Successivamente, è importante identificare quali dispositivi inviano traffico a FlowSensor e il problema potrebbe trovarsi lì.
Inoltre, StealthWatch è unico in quanto esegue deduplicazione dei dati (unendo i flussi identici). Di conseguenza, è possibile raccogliere dati da quasi tutti i dispositivi Netflow senza preoccuparsi di avere molti dati duplicati. Anzi, in questo schema, questo aiuta a capire dove ci sono le maggiori latenze.
3. Audit dei protocolli crittografici HTTPS
ETA (Encrypted Traffic Analytics) è una tecnologia sviluppata da Cisco che consente di rilevare connessioni dannose nel traffico crittografato senza doverlo decifrare. Inoltre, questa tecnologia permette di "analizzare" l'HTTPS in versioni TLS e nei protocolli crittografici utilizzati nelle connessioni. Questa funzionalità è particolarmente utile quando si devono identificare i nodi di rete che utilizzano standard crittografici deboli.
Nota: è necessario prima installare l'app di rete su StealthWatch — Audit crittografico ETA.
Passiamo alla scheda Dashboard → Audit Criptografico ETA e selezioniamo il gruppo di host che intendiamo analizzare. Per una visione complessiva, scegliamo Inside Hosts.
Si può osservare che vengono mostrati la versione TLS e il corrispondente standard crittografico. Come di consueto, nella colonna Azioni passiamo a Visualizza Flussi e inizia la ricerca in una nuova scheda.
Dall'uscita si evince che l'host 198.19.20.136 nel corso di 12 ore ha utilizzato HTTPS con TLS 1.2, dove l'algoritmo di crittografia AES-256 e la funzione hash SHA-384. Pertanto, ETA consente di identificare algoritmi deboli nella rete.
4. Analisi delle anomalie nella rete
Cisco StealthWatch è in grado di riconoscere anomalie nel traffico di rete, utilizzando tre strumenti: Eventi Core (eventi di sicurezza), Eventi di Relazione (eventi di interazione tra segmenti, nodi della rete) e analisi comportamentale.
L'analisi comportamentale, a sua volta, consente di costruire nel tempo un modello di comportamento per un determinato host o gruppo di host. Più traffico passa attraverso StealthWatch, più accurate saranno le attivazioni grazie a questa analisi. All'inizio, il sistema attiva molte false segnalazioni, quindi le regole devono essere "affinate" manualmente. Raccomando di non prestare attenzione a questi eventi per le prime settimane, poiché il sistema si adatterà da solo, oppure di aggiungerli alle eccezioni.
Di seguito è riportato un esempio di regola preimpostata Anomaly, che stabilisce che l'evento verrà attivato senza allerta se un host nel gruppo Inside Hosts interagisce con il gruppo Inside Hosts e nel corso di 24 ore il traffico supera 10 megabyte.
Per esempio, consideriamo l'allerta Data Hoarding, che indica che un certo host sorgente/destinazione ha caricato/scaricato una quantità anomala di dati da un gruppo di host o da un host. Facciamo clic sull'evento e accediamo alla tabella che indica gli host che hanno attivato il trigger. Successivamente, scegliamo l'host di nostro interesse nella colonna Data Hoarding.
Viene visualizzato un evento che segnala la presenza di 162k "punti", mentre la politica consente 100k "punti" — queste sono metriche interne di StealthWatch. Nella colonna Azioni clicchiamo su Visualizza Flussi.
Possiamo osservare che questo host ha interagito durante la notte con l'host 10.201.3.47 del Vendite & Marketing tramite il protocollo HTTPS e ha scaricato 1,4 GB. Questo esempio potrebbe non essere del tutto felice, ma il rilevamento delle interazioni avviene esattamente allo stesso modo anche per diverse centinaia di gigabyte. Pertanto, ulteriori indagini sulle anomalie potrebbero portare a risultati interessanti.
Nota: nell'interfaccia web SMC, i dati nelle schede Dashboard sono visualizzati solo per l'ultima settimana e nella scheda Monitor per le ultime 2 settimane. Per analizzare eventi più datati e generare report, è necessario lavorare con la console Java sul computer dell'amministratore.
5. Trovare scansioni interne di rete
Ora consideriamo alcuni esempi di feed — incidenti di sicurezza informatica. Questa funzionalità è più interessante per i professionisti della sicurezza.
Ci sono diversi tipi di eventi di scansione preimpostati in StealthWatch:
- Port Scan — la fonte scansiona numerosi porti dell'host di destinazione.
- Scans tcp Addr — la fonte scansiona un'intera rete su una stessa porta TCP, cambiando nel frattempo l'indirizzo IP di destinazione. In questo modo, la fonte riceve pacchetti TCP Reset o non riceve affatto risposte.
- Scans udp Addr — la fonte scansiona un'intera rete su una stessa porta UDP, cambiando nel frattempo l'indirizzo IP di destinazione. In questo modo, la fonte riceve pacchetti ICMP Port Unreachable o non riceve affatto risposte.
- Ping Scan — la fonte invia richieste ICMP a un'intera rete in cerca di risposte.
- Stealth Scan tcp/udp — la fonte ha utilizzato la propria porta per connettersi a molte porte su un nodo di destinazione nello stesso momento.
Per una più facile individuazione di tutti gli scanner interni esiste un'app di rete per StealthWatch — Valutazione della Visibilità. Andando alla scheda Dashboards → Valutazione della Visibilità → Scanner Rete Interna vedrete gli incidenti di sicurezza relativi alla scansione degli ultimi 2 settimane.
Facendo clic sul pulsante Details, sarà visibile l'inizio della scansione di ciascuna rete, la tendenza del traffico e gli allarmi corrispondenti.
Successivamente, si può “approfondire” l'host dalla scheda della schermata precedente e vedere gli eventi di sicurezza e l'attività dell'ultima settimana per questo host.
Prendiamo come esempio un evento Port Scan da un host 10.201.3.149 con 10.201.0.72, cliccando su Azioni > Flussi Associati. Inizia la ricerca nei flussi e viene visualizzata l'informazione pertinente.
Come possiamo vedere, questo host da una delle sue porte 51508/TCP ha eseguito una scansione 3 ore fa sull'host di destinazione sulle porte 22, 28, 42, 41, 36, 40 (TCP). Alcuni campi potrebbero non mostrare informazioni, poiché non tutti i campi Netflow sono supportati dall'esportatore Netflow.
6. Analisi dei malware scaricati tramite CTA
CTA (Cognitive Threat Analytics) è un'analisi cloud di Cisco che si integra perfettamente con Cisco StealthWatch e consente di arricchire l'analisi senza firme con analisi basate su firme. Questo rende possibile il rilevamento di trojan, worm di rete, malware zero-day e altri tipi di malware e la loro diffusione all'interno della rete. Inoltre, la tecnologia ETD menzionata in precedenza consente di analizzare tali comunicazioni dannose anche nel traffico crittografato.
Già nella prima scheda dell'interfaccia web è disponibile un widget speciale Cognitive Threat Analytics. Un riepilogo indica le minacce rilevate sugli host degli utenti: trojan, malware fraudolento, adware. La parola 'Encrypted' indica proprio il funzionamento di ETA. Cliccando sull'host, si visualizzerà tutte le informazioni, inclusi gli eventi di sicurezza e i log di CTA.
Passando a ogni fase di CTA, verranno visualizzate informazioni dettagliate sull'interazione. Per un'analisi completa, è consigliabile fare clic su Visualizza Dettagli dell'Incidente, e accederai a una console separata Cognitive Threat Analytics.
Nell'angolo in alto a destra, il filtro consente di visualizzare gli eventi in base al livello di criticità. Passando a un'anomalia specifica, nella parte inferiore dello schermo appaiono i log con il corrispondente timeline a destra. In questo modo, lo specialista del dipartimento di sicurezza IT comprende chiaramente quale host infetto ha iniziato a compiere determinate azioni dopo quali eventi.
Qui sotto è mostrato un altro esempio: un trojan bancario che ha infettato un host 198.19.30.36. Questo host ha iniziato a interagire con domini dannosi, e nei log è riportata l'informazione sui flussi di queste interazioni.
Inoltre, una delle migliori soluzioni che si può avere è mettere l'host in quarantena grazie alla funzione nativa con Cisco ISE per ulteriori analisi e diagnosi.
Conclusione
La soluzione Cisco StealthWatch è uno dei leader nel monitoraggio della rete, sia per quanto riguarda l'analisi della rete che la sicurezza informatica. Grazie a questo prodotto, è possibile rilevare interazioni illegittime all'interno della rete, ritardi delle applicazioni, gli utenti più attivi, anomalie, malware e APT. Inoltre, è possibile identificare scansioni, pentester e condurre audit crittografici del traffico HTTPS. Ulteriori casi d'uso possono essere trovati su .
Se desiderate verificare quanto sia fluida ed efficiente la vostra rete, inviate .
Presto pianifichiamo ulteriori pubblicazioni tecniche su vari prodotti di sicurezza informatica. Se siete interessati a questo tema, seguite gli aggiornamenti sui nostri canali (, , , )!
Fonte: habr.com
