{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analisi del traffico crittografato senza decrittografarlo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sistema per l'analisi del traffico senza decrittografarlo. Questo metodo \u00e8 semplicemente chiamato \u00abapprendimento automatico\u00bb. \u00c8 stato riscontrato che se si alimenta un classificatore speciale con un volume molto grande di traffico eterogeneo, il sistema pu\u00f2 rilevare con un'alta probabilit\u00e0 le azioni di codice malevolo all'interno del traffico crittografato.<\/p>\n

<\/p>\n

\"Analisi<\/p>\n

<\/a><\/noindex><\/p>\n

Le minacce informatiche sono cambiate e sono diventate \u00abpi\u00f9 intelligenti\u00bb. Negli ultimi tempi, la stessa concezione di attacco e difesa \u00e8 cambiata. Il numero di eventi in rete \u00e8 aumentato notevolmente. Gli attacchi sono diventati pi\u00f9 sofisticati e gli hacker hanno una gamma pi\u00f9 ampia di strategie di attacco.<\/p>\n

<\/p>\n

Secondo le statistiche di Cisco, negli ultimi anno i malintenzionati hanno aumentato di tre volte il numero di programmi malevoli che usano per le loro attivit\u00e0, in particolare per nascondere le proprie tracce tramite la crittografia. Dalla teoria si sa che un algoritmo di crittografia \u00abcorretto\u00bb non pu\u00f2 essere violato. Per capire cosa si nasconde all'interno del traffico crittografato, \u00e8 necessario o decrittografarlo conoscendo la chiave, oppure tentare di decifrarlo con vari trucchi, o ancora attraverso un attacco diretto, o sfruttando alcune vulnerabilit\u00e0 nei protocolli crittografici.<\/p>\n

<\/p>\n

\"Analisi
\nIl panorama delle minacce informatiche del nostro tempo<\/em><\/p>\n

<\/p>\n

Apprendimento automatico<\/h3>\n

<\/p>\n

Conosci la tecnologia a menadito! Prima di parlare di come funziona la tecnologia di decrittografia basata sull'apprendimento automatico, \u00e8 necessario esaminare come funziona la tecnologia delle reti neurali.<\/p>\n

<\/p>\n

L'apprendimento automatico (Machine Learning) \u00e8 un ampio sottodominio dell'intelligenza artificiale che studia i metodi per costruire algoritmi in grado di apprendere. Questa scienza \u00e8 indirizzata alla creazione di modelli matematici per l'\u00abapprendimento\u00bb dei computer. L'obiettivo dell'apprendimento \u00e8 la previsione di qualcosa. Nella comprensione umana, chiamiamo questo processo con la parola \u00absaggezza\u00bb<\/em>. La saggezza si manifesta nelle persone che hanno vissuto abbastanza anni (un bambino di 2 anni non pu\u00f2 essere saggio). Rivolgendoci ai membri pi\u00f9 anziani, forniamo loro alcune informazioni sull'evento (dati in ingresso) e chiediamo aiuto. Loro, a loro volta, ricordano tutte le situazioni della vita che sono in qualche modo collegate al tuo problema (base di conoscenza) e sulla base di quelle conoscenze (dati) ci forniscono, in un certo senso, una previsione (consiglio). Questo tipo di consigli \u00e8 stato chiamato previsione perch\u00e9 la persona che offre il consiglio non sa con certezza cosa accadr\u00e0, ma solo suppone. L'esperienza di vita dimostra che una persona pu\u00f2 avere ragione, ma pu\u00f2 anche sbagliarsi.<\/p>\n

<\/p>\n

Non bisognerebbe confrontare le reti neurali con l'algoritmo di branching (if-else). Sono cose diverse e ci sono differenze chiave tra di loro. Mostrer\u00f2 con degli esempi.<\/p>\n

<\/p>\n

Compito. Determinare la distanza di arresto di un'auto in base alla sua marca e anno di produzione.<\/p>\n

<\/p>\n

Esempio di funzionamento dell'algoritmo di branching. Se l'auto \u00e8 di marca 1 ed \u00e8 stata prodotta nel 2012, la sua distanza di arresto \u00e8 di 10 metri; altrimenti, se l'auto \u00e8 di marca 2 ed \u00e8 stata prodotta nel 2011, e cos\u00ec via.<\/p>\n

<\/p>\n

Esempio di funzionamento di una rete neurale. Raccolgliamo dati sulle distanze di arresto delle auto negli ultimi 20 anni. Creiamo una tabella del tipo \"marca-anno di produzione-distanza di arresto\" in base alla marca e all'anno. Forniamo questa tabella alla rete neurale e iniziamo a insegnarle. L'addestramento avviene nel seguente modo: forniamo dati alla rete neurale, ma senza la distanza di arresto. La rete cerca di prevedere quale sar\u00e0 la distanza di arresto, sulla base della tabella caricata. Prevede qualcosa e pone la domanda all'utente \"Ho ragione?\". Prima della domanda, crea una quarta colonna - la colonna delle congetture. Se ha ragione, inserisce 1 nella quarta colonna, se ha sbagliato, 0. La rete neurale passa all'evento successivo (anche se ha sbagliato). Cos\u00ec la rete si allena e quando l'addestramento \u00e8 completo (raggiunto un certo criterio di convergenza), forniamo dati sull'auto che ci interessa e infine otteniamo la risposta.<\/p>\n

<\/p>\n

Per chiarire la questione del criterio di convergenza, spiegher\u00f2 che si tratta di una formula matematicamente derivata per la statistica. Un esempio evidente di 2 formule di convergenza diverse. Rossa - convergenza binaria, blu - convergenza normale.<\/p>\n

<\/p>\n

\"Analisi
\nDistribuzioni di probabilit\u00e0 binomiale e normale<\/em><\/p>\n

<\/p>\n

Per rendere tutto pi\u00f9 chiaro, ponete la domanda \"Qual \u00e8 la probabilit\u00e0 di incontrare un dinosauro?\". Ci sono 2 risposte possibili. Risposta 1 \u2013 molto bassa (grafico blu). Risposta 2 \u2013 o lo incontro o no (grafico rosso).<\/p>\n

<\/p>\n

Certo, un computer non \u00e8 un essere umano e apprende in modo diverso. Si distinguono 2 tipi di apprendimento del \"cavallo di ferro\" \u2013 apprendimento per precedenti<\/strong> e apprendimento deduttivo<\/strong>.<\/p>\n

<\/p>\n

L'apprendimento per precedenti \u00e8 un metodo di apprendimento basato su leggi matematiche. I matematici raccolgono tabelle statistiche, formulano conclusioni e caricano nella rete neurale il risultato \u2013 una formula per il calcolo.<\/p>\n

<\/p>\n

L'apprendimento deduttivo \u2013 l'apprendimento avviene esclusivamente nella rete neurale (dalla raccolta dei dati fino alla loro analisi). Qui si forma una tabella senza formula, ma con statistiche.<\/p>\n

<\/p>\n

Una panoramica ampia della tecnologia richiederebbe ancora un paio di decine di articoli. Per ora, ci\u00f2 \u00e8 sufficiente per una comprensione generale.<\/p>\n

<\/p>\n

Neuroplasticit\u00e0<\/h3>\n

<\/p>\n

In biologia esiste un concetto chiamato neuroplasticit\u00e0. La neuroplasticit\u00e0 \u00e8 la capacit\u00e0 dei neuroni (cellule cerebrali) di agire \"in base alla situazione\". Ad esempio, una persona che ha perso la vista sente meglio i suoni, percepisce gli odori e riconosce gli oggetti. Questo avviene perch\u00e9 una parte del cervello (una parte dei neuroni) responsabile della vista ridistribuisce il proprio lavoro su un'altra funzionalit\u00e0.<\/p>\n

<\/p>\n

Un esempio vivido di neuroplasticit\u00e0 nella vita \u00e8 il lecca-lecca BrainPort.<\/p>\n

<\/p>\n

Nel 2009, l'Universit\u00e0 del Wisconsin a Madison ha annunciato l'uscita di un nuovo dispositivo che sviluppa le idee del \"display linguistico\", chiamato BrainPort. BrainPort funziona secondo questo algoritmo: il segnale video arriva dalla telecamera al processore, che gestisce lo zoom, la luminosit\u00e0 e altri parametri dell'immagine. Trasforma anche i segnali digitali in impulsi elettrici, assumendo di fatto le funzioni della retina.<\/p>\n

<\/p>\n

\"Analisi
\nLecca-lecca BrainPort con occhiali e telecamera<\/em><\/p>\n

<\/p>\n

\"Analisi
\nBrainPort in azione<\/em><\/p>\n

\n

\r\n \"Guarda\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Lo stesso vale per un computer. Se la rete neurale percepisce un cambiamento nel processo, si adatta ad esso. Questo \u00e8 uno dei principali vantaggi delle reti neurali rispetto ad altri algoritmi: l'autonomia. Una sorta di umanit\u00e0.<\/p>\n

<\/p>\n

Analisi del traffico crittografato<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics \u00e8 parte del sistema Stealthwatch. Stealthwatch \u00e8 una soluzione sviluppata dalla Cisco nel campo del monitoraggio e dell'analisi della sicurezza, che utilizza i dati di telemetria aziendale provenienti dall'infrastruttura di rete esistente.<\/p>\n

<\/p>\n

La base di Stealthwatch Enterprise \u00e8 composta dagli strumenti Flow Rate License, Flow Collector, Management Console e Flow Sensor.<\/p>\n

<\/p>\n

\"Analisi
\nInterfaccia Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Il problema della crittografia si \u00e8 fatto particolarmente sentire poich\u00e9 \u00e8 aumentato notevolmente il traffico crittografato. In passato veniva crittografato solo il codice (principalmente), mentre ora viene crittografato tutto il traffico, rendendo molto pi\u00f9 difficile separare i dati \"puliti\" dai virus. Un chiaro esempio \u00e8 WannaCry, che ha utilizzato Tor per nascondere la propria presenza sulla rete.<\/p>\n

<\/p>\n

\"Analisi
\nVisualizzazione della crescita della crittografia del traffico in rete<\/em><\/p>\n

<\/p>\n

\"Analisi
\nCrittografia in macroeconomia<\/em><\/p>\n

<\/p>\n

Il sistema Encrypted Traffic Analytics (ETA) \u00e8 necessario proprio per gestire il traffico crittografato senza doverlo decifrare. I criminali informatici sono intelligenti e utilizzano algoritmi di crittografia resistenti, e violarli non \u00e8 solo un problema, ma comporta anche enormi costi per le organizzazioni.<\/p>\n

<\/p>\n

Il sistema funziona come segue. In azienda arriva un certo traffico. Esso entra nel TLS (transport layer security \u2014 protocollo di protezione del livello di trasporto). Supponiamo che il traffico sia crittografato. Cerchiamo di rispondere a una serie di domande su quale connessione sia stata stabilita.<\/p>\n

<\/p>\n

\"Analisi
\nPrincipio di funzionamento del sistema Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Per rispondere a queste domande utilizziamo l'apprendimento automatico in questo sistema. Vengono utilizzati gli studi della Cisco per creare una tabella con 2 risultati - traffico malevolo e \"buono\". Certamente, non possiamo sapere con certezza quale traffico sia finito nel sistema in questo preciso momento, ma possiamo tracciare la storia del traffico sia all'interno che all'esterno dell'azienda ricorrendo ai dati provenienti dal panorama mondiale. Alla fine di questo passaggio, otteniamo un'enorme tabella con i dati.<\/p>\n

<\/p>\n

Sulla base dei risultati della ricerca si identificano tratti caratteristici: determinate regole che possono essere espresse in forma matematica. Queste regole varieranno notevolmente in base a diversi criteri: dimensione dei file trasferiti, tipo di connessione, paese da cui proviene il traffico e cos\u00ec via. Di conseguenza, una tabella enorme si \u00e8 trasformata in un insieme di formule. Sono diventate meno, ma questo non \u00e8 sufficiente per un lavoro confortevole.<\/p>\n

<\/p>\n

In seguito, viene applicata la tecnologia di apprendimento automatico: la convergenza della formula e, in base al risultato di tale convergenza, otteniamo un trigger: un interruttore, dove al verificarsi dei dati riceviamo un interruttore (flag) in posizione alzata o abbassata.<\/p>\n

<\/p>\n

L'ultima fase \u00e8 la generazione di un insieme di trigger che coprono il 99% del traffico.<\/p>\n

<\/p>\n

\"Analisi
\nFasi di controllo del traffico in ETA<\/em><\/p>\n

<\/p>\n

Di conseguenza, viene risolta un'altra problematica: l'attacco dall'interno. Non sono pi\u00f9 necessarie persone nel mezzo che filtrano il traffico manualmente (in questo momento mi sto sabotando). In primo luogo, non \u00e8 pi\u00f9 necessario spendere molti soldi per un sistemista esperto (continuo a sabotarmi). In secondo luogo, non c'\u00e8 pi\u00f9 il pericolo di intrusioni interne (almeno parzialmente).<\/p>\n

<\/p>\n

\"Analisi
\nConcetto obsoleto di Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Ora, analizziamo su cosa si basa il sistema.<\/p>\n

<\/p>\n

Il sistema funziona su 4 protocolli di comunicazione: TCP\/IP \u2013 protocollo di trasmissione dei dati su internet, DNS \u2013 server dei nomi di dominio, TLS \u2013 protocollo di protezione a livello di trasporto, SPLT (SpaceWire Physical Layer Tester) \u2013 tester del livello fisico di comunicazione.<\/p>\n

<\/p>\n

\"Analisi
\nProtocolli che lavorano con ETA<\/em><\/p>\n

<\/p>\n

Il confronto avviene attraverso un abbinamento dei dati. Per i protocolli TCP\/IP viene controllata la reputazione dei siti (storia delle visite, obiettivo della creazione del sito, ecc.), grazie al protocollo DNS possiamo escludere gli indirizzi di siti \"cattivi\". Il protocollo TLS lavora con le \"impronte\" del sito (fingerprint) e verifica il sito sulla base del gruppo di risposta agli incidenti informatici (cert). L'ultima fase di controllo della connessione \u00e8 la verifica a livello fisico. I dettagli del funzionamento di questa fase non vengono specificati, ma il concetto \u00e8 il seguente: verifica delle sinusoidi e cosinusoidi delle curve di trasmissione dei dati su impianti oscillografici, cio\u00e8, grazie alla struttura della richiesta a livello fisico, definiamo l'obiettivo della connessione.<\/p>\n

<\/p>\n

A seguito del funzionamento del sistema, possiamo estrarre dati dal traffico crittografato. Grazie allo studio dei pacchetti, possiamo leggere il massimo delle informazioni dai campi non crittografati all'interno del pacchetto. Attraverso l'ispezione del pacchetto a livello fisico, apprendiamo le caratteristiche del pacchetto (parzialmente o completamente). Inoltre, non dobbiamo dimenticare la reputazione dei siti. Se la richiesta proviene da una sorgente .onion, non dobbiamo fidarci. Per facilitare il lavoro con questo tipo di dati, \u00e8 stata creata una mappa dei rischi.<\/p>\n

<\/p>\n

\"Analisi
\nRisultato del funzionamento di ETA<\/em><\/p>\n

<\/p>\n

E tutto sembra andare bene, ma parliamo del dispiegamento della rete.<\/p>\n

<\/p>\n

Realizzazione fisica di ETA<\/h3>\n

<\/p>\n

Qui sorgono una serie di sfumature e sottigliezze. In primo luogo, nella creazione di questo tipo di
\nrete con software di alto livello, \u00e8 necessaria la raccolta dei dati. Raccogliere dati manualmente \u00e8 del tutto
\ncomplicato, mentre implementare un sistema di risposta \u00e8 gi\u00e0 pi\u00f9 interessante. In secondo luogo, i dati
\ndevono essere numerosi, il che significa che i sensori installati nella rete devono operare
\nnon solo in modo autonomo, ma anche in modalit\u00e0 finemente sintonizzata, il che comporta una serie di complessit\u00e0.<\/p>\n

<\/p>\n

\"Analisi
\nSensori e sistema Stealthwatch<\/em><\/p>\n

<\/p>\n

Installare un sensore \u00e8 una cosa, ma configurarlo \u00e8 completamente un'altra questione. Per la configurazione dei sensori, esiste un complesso che funziona secondo la seguente topologia \u2013 ISR = router con integrazione servizi Cisco (Cisco Integrated Services Router); ASR = router con aggregazione servizi Cisco (Cisco Aggregation Services Router); CSR = router per servizi cloud Cisco (Cisco Cloud Services Router); WLC = controller per reti locali wireless Cisco (Cisco Wireless LAN Controller); IE = switch Ethernet industriale Cisco (Cisco Industrial Ethernet); ASA = dispositivo di protezione adattiva Cisco (Cisco Adaptive Security Appliance); FTD = soluzione per la protezione dalle minacce Cisco Firepower Threat Defense; WSA = dispositivo di protezione del traffico web (Web Security Appliance); ISE = modulo per servizi di identificazione (Identity Services Engine)<\/p>\n

<\/p>\n

\"Analisi
\nMonitoraggio complessivo tenendo conto di qualsiasi dato di telemetria<\/em><\/p>\n

<\/p>\n

Ai network administrator inizia a venire l'aritmia per il numero di volte che ho detto \"Cisco\" nel paragrafo precedente. Il prezzo di questa meraviglia \u00e8 piuttosto elevato, ma non \u00e8 questo il tema di oggi...<\/p>\n

<\/p>\n

La modellazione del comportamento degli hacker avverr\u00e0 nel seguente modo. Stealthwatch monitora attentamente l'attivit\u00e0 di ogni dispositivo nella rete e pu\u00f2 creare un modello di comportamento normale. Inoltre, questa soluzione fornisce una comprensione profonda dei comportamenti inappropriati noti. Nell'ambito di questa soluzione vengono utilizzati circa 100 diversi algoritmi di analisi o regole euristiche che riguardano diversi tipi di comportamento del traffico, come la scansione, la trasmissione di allarmi da un nodo, l'accesso al sistema tramite brute force, la presunta cattura di dati, la presunta perdita di dati, ecc. Gli eventi di sicurezza elencati rientrano nella categoria delle allerte logiche ad alto livello. Alcuni eventi di sicurezza possono attivare un allarme anche da soli. Cos\u00ec, il sistema \u00e8 in grado di correlare numerosi incidenti anomali isolati e riunirli per determinare un possibile tipo di attacco, oltre a collegarlo a un dispositivo e un utente specifici (figura 2). Successivamente, l'incidente pu\u00f2 essere analizzato nel tempo e tenendo conto dei dati di telemetria correlati. Questo costituisce informazioni contestuali nella loro migliore espressione. I medici, esaminando un paziente per capire cosa \u00e8 successo, non considerano i sintomi separatamente. Esaminano il quadro generale per formulare una diagnosi. Allo stesso modo, Stealthwatch registra ogni attivit\u00e0 anomala nella rete e la studia nel complesso, per inviare segnali di allerta tenendo conto del contesto, aiutando cos\u00ec gli esperti di sicurezza a stabilire priorit\u00e0 per i rischi.<\/p>\n

<\/p>\n

\"Analisi
\nRilevamento delle anomalie tramite modellazione del comportamento<\/em><\/p>\n

<\/p>\n

Il dispiegamento fisico della rete appare cos\u00ec:<\/p>\n

<\/p>\n

\"Analisi
\nOpzione di dispiegamento della rete della filiale (semplificata)<\/em><\/p>\n

<\/p>\n

\"Analisi
\nOpzione di dispiegamento della rete della filiale<\/em><\/p>\n

<\/p>\n

La rete \u00e8 dispiegata, ma rimane aperta la questione sulla rete neurale. \u00c8 stata organizzata una rete di trasmissione dati, installati sensori sui limiti e avviato un sistema di raccolta informazioni, ma la rete neurale non ha partecipato. Al momento.<\/p>\n

<\/p>\n

Rete neurale multilivello<\/h3>\n

<\/p>\n

Il sistema analizza il comportamento dell'utente e del dispositivo per identificare infezioni dannose, comunicazioni con server di comando, perdite di dati e potenziali applicazioni indesiderate che operano nell'infrastruttura dell'organizzazione. Esistono diversi livelli di elaborazione dei dati, nei quali una combinazione di metodi di intelligenza artificiale, apprendimento automatico e statistica matematica aiuta la rete ad autoapprendere la sua attivit\u00e0 normale, in modo che possa identificare l'attivit\u00e0 dannosa.<\/p>\n

<\/p>\n

Il pipeline di analisi della sicurezza della rete, che raccoglie dati di telemetria da tutte le parti della rete estesa, inclusi i dati di traffico crittografato, \u00e8 una caratteristica unica di Stealthwatch. Forma gradualmente una comprensione di ci\u00f2 che \u00e8 \"anomalo\", quindi classifica i singoli elementi di \"attivit\u00e0 minacciosa\" e, infine, emette una decisione finale riguardo se il dispositivo o l'utente siano stati realmente compromessi. La capacit\u00e0 di raccogliere insieme piccoli frammenti, che formano la prova per prendere una decisione finale sulla compromissione dell'oggetto, \u00e8 garantita da un'analisi e correlazione molto accurata.<\/p>\n

<\/p>\n

Questa capacit\u00e0 \u00e8 fondamentale, poich\u00e9 un'impresa standard pu\u00f2 ricevere ogni giorno un'enorme quantit\u00e0 di allarmi, e condurre un'indagine su ciascuno di essi \u00e8 impossibile poich\u00e9 le risorse degli specialisti della sicurezza sono limitate. Il modulo di apprendimento automatico elabora un'enorme quantit\u00e0 di informazioni praticamente in tempo reale per identificare incidenti critici con un alto grado di certezza, ed \u00e8 anche in grado di suggerire un chiaro ordine di azioni per una pronta risoluzione.<\/p>\n

<\/p>\n

Analizziamo pi\u00f9 a fondo i numerosi metodi di apprendimento automatico utilizzati da Stealthwatch. Quando un incidente viene consegnato al modulo di apprendimento automatico di Stealthwatch, passa attraverso un imbuto di analisi della sicurezza, nel quale si utilizza una combinazione di metodi di apprendimento automatico supervisionato e non supervisionato.<\/p>\n

<\/p>\n

\"Analisi
\nLe capacit\u00e0 di apprendimento automatico multilivello<\/em><\/p>\n

<\/p>\n

Livello 1. Rilevamento delle anomalie e modellizzazione della fiducia<\/h3>\n

<\/p>\n

A questo livello, il 99% del traffico viene scartato grazie a rilevatori statistici di anomalie. I sensori sopra menzionati formano modelli complessi di ci\u00f2 che \u00e8 normale e di ci\u00f2 che, al contrario, \u00e8 anomalo. Tuttavia, ci\u00f2 che \u00e8 anomalo non \u00e8 necessariamente malevolo. Molti degli eventi che accadono nella vostra rete non hanno alcuna correlazione con una minaccia: sono semplicemente strani. \u00c8 importante classificare tali processi senza considerare il comportamento minaccioso. Per questo motivo, i risultati dell'attivit\u00e0 di tali rilevatori vengono sottoposti a un'analisi successiva per registrare comportamenti strani che possano essere spiegati e ai quali si possa dare fiducia. Alla fine, solo una piccola quota dei flussi e delle richieste pi\u00f9 importanti passa ai livelli 2 e 3. Senza l'utilizzo di tali metodi di apprendimento automatico, i costi operativi per separare il segnale dal rumore sarebbero troppo elevati.<\/p>\n

<\/p>\n

Rilevamento delle anomalie.<\/strong> Nella prima fase del rilevamento delle anomalie, si utilizzano metodi statistici di apprendimento automatico per separare il traffico statisticamente normale da quello anomalo. Oltre 70 rilevatori distinti elaborano i dati di telemetria raccolti da Stealthwatch sul traffico che attraversa il perimetro della vostra rete, separando il traffico interno del sistema di nomi a dominio (DNS) e i dati del server proxy, se presenti. Ogni richiesta viene elaborata da pi\u00f9 di 70 rilevatori, ognuno dei quali utilizza il proprio algoritmo statistico per formulare una valutazione delle anomalie rilevate. Tali valutazioni vengono unite e, grazie all'applicazione di diversi metodi statistici, si ottiene una valutazione unitaria per ciascuna richiesta. Successivamente, tale valutazione aggregata viene utilizzata per separare il traffico normale da quello anomalo.<\/p>\n

<\/p>\n

Modellazione della fiducia.<\/strong> Successivi richieste simili vengono raggruppate e la valutazione complessiva delle anomalie per tali gruppi \u00e8 determinata come media a lungo termine. Con il passare del tempo, pi\u00f9 richieste vengono sottoposte ad analisi con successiva determinazione della media a lungo termine, consentendo cos\u00ec di ridurre i falsi positivi e i falsi negativi. I risultati della simulazione della fiducia vengono utilizzati per selezionare un sottogruppo di traffico, la cui valutazione delle anomalie supera una certa soglia definita dinamicamente, per il suo spostamento al livello successivo di elaborazione.<\/p>\n

<\/p>\n

Livello 2. Classificazione degli eventi e modellazione dell'oggetto<\/h3>\n

<\/p>\n

A questo livello avviene la classificazione dei risultati ottenuti nelle fasi precedenti, assegnandoli a specifici eventi dannosi. La classificazione degli eventi \u00e8 effettuata in base ai valori assegnati dai classificatori di machine learning per garantire un costante tasso di precisione superiore al 90%. Questi includono:<\/p>\n

<\/p>\n