ניתוח תעבורה מוצפנת ללא פענוחה

מערכת לניתוח תעבורה ללא פענוחה. שיטה זו נקראת פשוט "למידת מכונה". התברר שאם נפח גדול מאוד של תעבורה מגוונת מוזן לקלט של מסווג מיוחד, המערכת יכולה לזהות פעולות של קוד זדוני בתוך תעבורה מוצפנת בדרגה גבוהה מאוד של הסתברות.

האיומים המקוונים השתנו והפכו לחכמים יותר. לאחרונה, עצם הרעיון של התקפה והגנה השתנה. מספר האירועים ברשת גדל משמעותית. ההתקפות הפכו מתוחכמות יותר ולהאקרים יש טווח רחב יותר.

לפי הסטטיסטיקה של סיסקו, במהלך השנה האחרונה, התוקפים שילשו את מספר התוכנות הזדוניות שבהן הם משתמשים לפעילותם, או ליתר דיוק, הצפנה כדי להסתיר אותן. ידוע מהתיאוריה שלא ניתן לשבור את אלגוריתם ההצפנה ה"נכון". על מנת להבין מה מסתתר בתוך התעבורה המוצפנת, יש צורך או לפענח אותה בידיעת המפתח, או לנסות לפענח אותה באמצעות טריקים שונים, או פריצה ישירה, או באמצעות איזושהי נקודות תורפה בפרוטוקולים קריפטוגרפיים.

תמונה של איומי הרשת של זמננו

למידת מכונה

הכר את הטכנולוגיה באופן אישי! לפני שמדברים על איך טכנולוגיית הפענוח מבוססת למידת מכונה עצמה עובדת, יש צורך להבין כיצד פועלת טכנולוגיית הרשת העצבית.

Machine Learning הוא תת-סעיף רחב של בינה מלאכותית החוקר שיטות לבניית אלגוריתמים שיכולים ללמוד. מדע זה נועד ליצור מודלים מתמטיים ל"אימון" מחשב. מטרת הלמידה היא לחזות משהו. בהבנה האנושית, אנו קוראים לתהליך הזה המילה "חוכמה". החוכמה באה לידי ביטוי אצל אנשים שחיו די הרבה זמן (ילד בן שנתיים לא יכול להיות חכם). כאשר פונים לחברים בכירים לייעוץ, אנו נותנים להם מידע על האירוע (נתוני קלט) ומבקשים מהם עזרה. הם, בתורם, זוכרים את כל המצבים מהחיים שקשורים איכשהו לבעיה שלך (בסיס הידע) ועל סמך הידע הזה (נתונים), נותנים לנו סוג של חיזוי (עצה). סוג זה של עצות התחיל להיקרא חיזוי מכיוון שהאדם שנותן את העצה לא יודע בוודאות מה יקרה, אלא רק מניח. ניסיון החיים מראה שאדם יכול להיות צודק, או שהוא יכול לטעות.

אתה לא צריך להשוות רשתות עצביות עם האלגוריתם המסועף (אם-אחר). אלה דברים שונים ויש הבדלים מרכזיים. לאלגוריתם המסועף יש "הבנה" ברורה מה לעשות. אדגים בעזרת דוגמאות.

מְשִׁימָה. קבע את מרחק הבלימה של מכונית בהתבסס על המותג ושנת הייצור שלה.

דוגמה לאלגוריתם המסועף. אם מכונית היא מותג 1 ויצאה בשנת 2012, מרחק הבלימה שלה הוא 10 מטר, אחרת, אם המכונית היא מותג 2 ויצאה בשנת 2011, וכן הלאה.

דוגמה לרשת עצבית. אנו אוספים נתונים על מרחקי בלימה של מכוניות במהלך 20 השנים האחרונות. לפי יצרן ושנה, אנו מרכיבים טבלה של הטופס "שנת ייצור של מרחק ייצור-בלימה". אנו מוציאים את הטבלה הזו לרשת העצבית ומתחילים ללמד אותה. האימון מתבצע באופן הבא: אנו מאכילים נתונים לרשת העצבית, אך ללא נתיב בלימה. הנוירון מנסה לחזות מה יהיה מרחק הבלימה על סמך הטבלה שהועמסה לתוכו. מנבא משהו ושואל את המשתמש "האם אני צודק?" לפני השאלה היא יוצרת עמודה רביעית, עמודת הניחושים. אם היא צודקת, אז היא כותבת 1 בעמודה הרביעית, אם היא טועה, היא כותבת 0. הרשת העצבית עוברת לאירוע הבא (גם אם היא עשתה טעות). כך הרשת לומדת וכאשר ההכשרה מסתיימת (הושג קריטריון התכנסות מסוים), אנו מגישים נתונים על הרכב שאנו מעוניינים בו ולבסוף מקבלים תשובה.

כדי להסיר את השאלה לגבי קריטריון ההתכנסות, אסביר שזו נוסחה הנגזרת מתמטית לסטטיסטיקה. דוגמה בולטת לשתי נוסחאות התכנסות שונות. אדום - התכנסות בינארית, כחול - התכנסות רגילה.

התפלגויות הסתברות בינומיות ונורמליות

כדי להבהיר את זה, שאל את השאלה "מהי ההסתברות לפגוש דינוזאור?" יש כאן 2 תשובות אפשריות. אפשרות 1 - קטנה מאוד (גרף כחול). אפשרות 2 - פגישה או לא (גרף אדום).

כמובן, מחשב הוא לא אדם והוא לומד אחרת. ישנם 2 סוגים של אימון סוסי ברזל: למידה מבוססת מקרה и למידה דדוקטיבית.

הוראה לפי תקדים היא דרך ללמד באמצעות חוקים מתמטיים. מתמטיקאים אוספים טבלאות סטטיסטיקה, מסיקים מסקנות ומטעינים את התוצאה לרשת העצבית - נוסחה לחישוב.

למידה דדוקטיבית – הלמידה מתרחשת כולה בנוירון (מאסוף נתונים ועד לניתוח שלו). כאן נוצרת טבלה ללא נוסחה, אלא עם סטטיסטיקה.

סקירה רחבה של הטכנולוגיה תדרוש עוד כמה תריסר מאמרים. לעת עתה, זה יספיק להבנתנו הכללית.

נוירופלסטיות

בביולוגיה יש מושג כזה - נוירופלסטיות. נוירופלסטיות היא היכולת של נוירונים (תאי מוח) לפעול "לפי המצב". לדוגמא, אדם שאיבד את ראייתו שומע צלילים, מריח ומחוש בחפצים טוב יותר. זה קורה בשל העובדה שהחלק של המוח (חלק מהנוירונים) האחראי על הראייה מחלק מחדש את עבודתו לפונקציונליות אחרת.

דוגמה בולטת לנוירופלסטיות בחיים היא סוכריית BrainPort.

בשנת 2009, אוניברסיטת ויסקונסין במדיסון הודיעה על שחרורו של מכשיר חדש שפיתח את הרעיונות של "תצוגת שפה" - זה נקרא BrainPort. BrainPort פועל לפי האלגוריתם הבא: אות הווידאו נשלח מהמצלמה למעבד, השולט בזום, בהירות ופרמטרים נוספים של תמונה. זה גם ממיר אותות דיגיטליים לדחפים חשמליים, ובעצם משתלט על תפקודי הרשתית.

סוכריית BrainPort עם משקפיים ומצלמה

BrainPort בעבודה

אותו דבר עם מחשב. אם הרשת העצבית חשה בשינוי בתהליך, היא מסתגלת אליו. זהו היתרון המרכזי של רשתות עצביות בהשוואה לאלגוריתמים אחרים - אוטונומיה. סוג של אנושיות.

ניתוח תנועה מוצפן

Analytics Traffic מוצפן הוא חלק ממערכת Stealthwatch. Stealthwatch היא הכניסה של סיסקו לפתרונות ניטור וניתוח אבטחה הממנפים נתוני טלמטריה ארגוניים מתשתית רשת קיימת.

Stealthwatch Enterprise מבוסס על רישיון קצב זרימה, אספן זרימה, מסוף ניהול וחיישן זרימה.

ממשק Cisco Stealthwatch

הבעיה בהצפנה התחדדה מאוד בגלל העובדה שהרבה יותר תעבורה החלה להיות מוצפנת. בעבר, רק הקוד היה מוצפן (בעיקר), אך כעת כל התעבורה מוצפנת והפרדת נתונים "נקיים" מווירוסים הפכה לקשה הרבה יותר. דוגמה בולטת היא WannaCry, שהשתמשה ב-Tor כדי להסתיר את הנוכחות המקוונת שלה.

הדמיה של הגידול בהצפנת התעבורה ברשת

הצפנה במאקרו כלכלה

מערכת ה-Encrypted Traffic Analytics (ETA) נחוצה בדיוק לעבודה עם תעבורה מוצפנת מבלי לפענח אותה. התוקפים הם חכמים ומשתמשים באלגוריתמי הצפנה עמידים לקריפטו, ושבירתם היא לא רק בעיה, אלא גם יקרה מאוד עבור ארגונים.

המערכת פועלת באופן הבא. חלק מהתנועה מגיעה לחברה. זה נופל ל-TLS (אבטחת שכבת תחבורה). נניח שהתעבורה מוצפנת. אנו מנסים לענות על מספר שאלות לגבי סוג החיבור שנוצר.

כיצד פועלת מערכת ניתוח התנועה המוצפנת (ETA).

כדי לענות על שאלות אלו אנו משתמשים בלמידה חישובית במערכת זו. נלקח מחקר מסיסקו ועל סמך מחקרים אלו נוצרת טבלה מ-2 תוצאות - תעבורה זדונית ו"טובה". כמובן, אנחנו לא יודעים בוודאות איזה סוג של תעבורה נכנסה ישירות למערכת ברגע הנוכחי בזמן, אבל אנחנו יכולים לעקוב אחר ההיסטוריה של התעבורה הן בתוך החברה והן מחוצה לה באמצעות נתונים מהבמה העולמית. בסוף השלב הזה, אנחנו מקבלים טבלה ענקית עם נתונים.

על סמך תוצאות המחקר מזהים מאפיינים אופייניים - כללים מסוימים שניתן לרשום בצורה מתמטית. כללים אלו ישתנו מאוד בהתאם לקריטריונים שונים - גודל הקבצים המועברים, סוג החיבור, המדינה ממנה מגיעה התעבורה הזו וכו'. כתוצאה מהעבודה הפך השולחן הענק לסט של ערימות נוסחאות. יש פחות מהם, אבל זה לא מספיק לעבודה נוחה.

לאחר מכן, מיושמת טכנולוגיית למידת מכונה – התכנסות נוסחה ועל סמך תוצאת ההתכנסות נקבל טריגר – מתג, כאשר כאשר הנתונים מופלטים נקבל מתג (דגל) במצב מורם או מונמך.

השלב המתקבל הוא השגת קבוצה של טריגרים שכיסו 99% מהתנועה.

שלבי בדיקת תנועה ב-ETA

כתוצאה מהעבודה נפתרת בעיה נוספת - התקפה מבפנים. כבר אין צורך שאנשים באמצע מסננים תנועה באופן ידני (אני מטביע את עצמי בשלב זה). ראשית, אתה כבר לא צריך להוציא הרבה כסף על מנהל מערכת מוכשר (אני ממשיך להטביע את עצמי). שנית, אין סכנה של פריצה מבפנים (לפחות חלקית).

קונספט איש-באמצע מיושן

כעת, בואו נבין על מה מבוססת המערכת.

המערכת פועלת על 4 פרוטוקולי תקשורת: TCP/IP – פרוטוקול העברת נתונים באינטרנט, DNS – שרת שמות מתחם, TLS – פרוטוקול אבטחת שכבת תעבורה, SPLT (SpaceWire Physical Layer Tester) – בודק שכבות תקשורת פיזית.

פרוטוקולים עובדים עם ETA

ההשוואה נעשית על ידי השוואת נתונים. באמצעות פרוטוקולי TCP/IP בודקים את המוניטין של האתרים (היסטוריית ביקורים, מטרת יצירת האתר וכו'), הודות לפרוטוקול DNS נוכל להשליך כתובות אתרים "גרועות". פרוטוקול TLS עובד עם טביעת אצבע של אתר ומאמת את האתר מול צוות חירום מחשב (cert). השלב האחרון בבדיקת החיבור הוא בדיקה ברמה הפיזית. הפרטים של שלב זה אינם מפורטים, אך הנקודה היא כדלקמן: בדיקת עקומות הסינוס והקוסינוס של עקומות העברת נתונים על מתקנים אוסילוגרפיים, כלומר. הודות למבנה הבקשה ברובד הפיזי, אנו קובעים את מטרת החיבור.

כתוצאה מהפעלת המערכת נוכל לקבל נתונים מתעבורה מוצפנת. על ידי בחינת מנות, נוכל לקרוא מידע רב ככל האפשר מהשדות הלא מוצפנים בחבילה עצמה. על ידי בדיקת החבילה בשכבה הפיזית, אנו מגלים את מאפייני החבילה (חלקית או מלאה). כמו כן, אל תשכח את המוניטין של האתרים. אם הבקשה הגיעה ממקור .onion כלשהו, ​​אסור לסמוך עליה. כדי להקל על העבודה עם נתונים מסוג זה, נוצרה מפת סיכונים.

תוצאה של עבודת ETA

ונראה שהכל בסדר, אבל בואו נדבר על פריסת רשת.

יישום פיזי של ETA

מתעוררים כאן מספר ניואנסים ודקויות. ראשית, בעת יצירת סוג זה של
רשתות עם תוכנה ברמה גבוהה, נדרש איסוף נתונים. איסוף נתונים באופן ידני לחלוטין
פראי, אבל הטמעת מערכת תגובה כבר מעניינת יותר. שנית, הנתונים
צריך להיות הרבה, מה שאומר שחיישני הרשת המותקנים חייבים לעבוד
לא רק באופן אוטונומי, אלא גם במצב מכוון עדין, מה שיוצר מספר קשיים.

חיישנים ומערכת Stealthwatch

התקנת חיישן היא דבר אחד, אבל התקנתו היא משימה אחרת לגמרי. כדי להגדיר חיישנים, יש קומפלקס שפועל לפי הטופולוגיה הבאה - ISR = Cisco Integrated Services Router; ASR = Cisco Aggregation Services Router; CSR = נתב שירותי ענן של Cisco; WLC = Cisco Wireless LAN Controller; IE = מתג Ethernet תעשייתי של Cisco; ASA = Cisco Adaptive Security Appliance; FTD = Cisco Firepower Threat Defense Solution; WSA = Web Security Appliance; ISE = מנוע שירותי זהות

ניטור מקיף תוך התחשבות בנתונים טלמטריים כלשהם

מנהלי רשת מתחילים לחוות הפרעת קצב ממספר המילים "סיסקו" בפסקה הקודמת. המחיר של הנס הזה לא קטן, אבל לא על זה אנחנו מדברים היום...

התנהגותו של ההאקר תעצב כדלקמן. Stealthwatch עוקב בקפידה אחר הפעילות של כל מכשיר ברשת ומסוגל ליצור דפוס של התנהגות נורמלית. בנוסף, פתרון זה מספק תובנות עמוקות לגבי התנהגות בלתי הולמת ידועה. הפתרון משתמש בכ-100 אלגוריתמי ניתוח שונים או היוריסטיות הנותנות מענה לסוגים שונים של התנהגות תעבורה כגון סריקה, מסגרות אזעקה מארח, התחברות בכוח גס, חשד לכידת נתונים, חשד לדליפת נתונים וכו'. אירועי האבטחה המפורטים נמצאים בקטגוריה של אזעקות לוגיות ברמה גבוהה. אירועי אבטחה מסוימים יכולים גם להפעיל אזעקה בכוחות עצמם. לפיכך, המערכת מסוגלת לתאם מספר אירועים חריגים מבודדים ולחבר אותם יחד כדי לקבוע את סוג ההתקפה האפשרי, כמו גם לקשר אותה למכשיר ומשתמש ספציפיים (איור 2). בעתיד, ניתן ללמוד את האירוע לאורך זמן ובהתחשב בנתוני הטלמטריה הנלווים. זה מהווה מידע הקשרי במיטבו. רופאים הבודקים מטופל כדי להבין מה לא בסדר לא מסתכלים על הסימפטומים בבודדים. הם מסתכלים על התמונה הגדולה כדי לבצע אבחנה. כמו כן, Stealthwatch לוכדת כל פעילות חריגה ברשת ובוחנת אותה בצורה הוליסטית כדי לשלוח אזעקות מודעות להקשר, ובכך לעזור לאנשי מקצוע בתחום האבטחה לתעדף סיכונים.

זיהוי אנומליות באמצעות מודל התנהגות

הפריסה הפיזית של הרשת נראית כך:

אפשרות פריסת רשת סניפים (פשוטה)

אפשרות פריסת רשת סניפים

הרשת נפרסה, אך השאלה לגבי הנוירון נותרה פתוחה. הם ארגנו רשת העברת נתונים, התקינו חיישנים על הספים והשיקו מערכת לאיסוף מידע, אבל הנוירון לא לקח חלק בעניין. ביי.

רשת עצבית רב-שכבתית

המערכת מנתחת את התנהגות המשתמש והמכשיר כדי לזהות זיהומים זדוניים, תקשורת עם שרתי שליטה ובקרה, דליפות נתונים ויישומים שעלולים להיות לא רצויים הפועלים בתשתית הארגון. ישנן מספר רבדים של עיבוד נתונים שבהם שילוב של בינה מלאכותית, למידת מכונה וטכניקות סטטיסטיקות מתמטיות עוזרות לרשת ללמוד את הפעילות הרגילה שלה כך שתוכל לזהות פעילות זדונית.

צינור ניתוח אבטחת הרשת, האוסף נתוני טלמטריה מכל חלקי הרשת המורחבת, כולל תעבורה מוצפנת, הוא תכונה ייחודית של Stealthwatch. הוא מפתח בהדרגה הבנה של מה הוא "חריג", ואז מסווג את המרכיבים הבודדים בפועל של "פעילות איום", ולבסוף עושה פסק דין סופי אם המכשיר או המשתמש אכן נפרצו. היכולת לחבר חלקים קטנים המהווים יחד את הראיה לקבלת החלטה סופית אם נכס נפרץ מגיעה באמצעות ניתוח וקורלציה זהירים מאוד.

יכולת זו חשובה מכיוון שעסק טיפוסי עשוי לקבל מספר עצום של אזעקות מדי יום, ואי אפשר לחקור כל אחת מהן מכיוון שלאנשי מקצוע בתחום האבטחה יש משאבים מוגבלים. מודול למידת מכונה מעבד כמויות עצומות של מידע כמעט בזמן אמת כדי לזהות אירועים קריטיים ברמת ביטחון גבוהה, והוא גם מסוגל לספק דרכי פעולה ברורות לפתרון מהיר.

בואו נסתכל מקרוב על טכניקות למידת מכונה רבות שבהן משתמש Stealthwatch. כאשר אירוע נשלח למנוע למידת המכונה של Stealthwatch, הוא עובר משפך ניתוח אבטחה המשתמש בשילוב של טכניקות למידת מכונה מפוקחת ובלתי מפוקחת.

יכולות למידת מכונה מרובת רמות

שלב 1. זיהוי חריגות ומודל אמון

ברמה זו, 99% מהתנועה מושלכת באמצעות גלאי אנומליות סטטיסטיות. חיישנים אלו יוצרים יחד מודלים מורכבים של מה נורמלי ומה, להיפך, לא נורמלי. עם זאת, החריג אינו בהכרח מזיק. הרבה ממה שקורה ברשת שלך לא קשור לאיום - זה פשוט מוזר. חשוב לסווג תהליכים כאלה ללא קשר להתנהגות מאיימת. מסיבה זו, התוצאות של גלאים כאלה מנותחות עוד יותר על מנת ללכוד התנהגות מוזרה שניתן להסביר ולסמוך עליה. בסופו של דבר, רק חלק קטן מהחוטים והבקשות החשובים ביותר מגיעים לשכבות 2 ו-3. ללא שימוש בטכניקות למידת מכונה כאלה, העלויות התפעוליות של הפרדת האות מהרעש יהיו גבוהות מדי.

זיהוי אנומליות. השלב הראשון בזיהוי חריגות משתמש בטכניקות למידת מכונה סטטיסטית כדי להפריד בין תעבורה נורמלית סטטיסטית לתעבורה חריגה. יותר מ-70 גלאים בודדים מעבדים את נתוני הטלמטריה ש-Stealthwatch אוספת על תעבורה שעוברת דרך היקף הרשת שלך, ומפרידה בין תעבורת מערכת שמות דומיין פנימית (DNS) לבין נתוני שרת פרוקסי, אם בכלל. כל בקשה מעובדת על ידי יותר מ-70 גלאים, כאשר כל גלאי משתמש באלגוריתם סטטיסטי משלו כדי ליצור הערכה של החריגות שזוהו. ציונים אלה משולבים ונעשה שימוש במספר שיטות סטטיסטיות כדי לייצר ציון יחיד עבור כל שאילתה בודדת. הציון המצטבר הזה משמש לאחר מכן כדי להפריד בין תעבורה רגילה לתנועה חריגה.

דוגמנות אמון. לאחר מכן, בקשות דומות מקובצות, וציון האנומליה המצטבר עבור קבוצות כאלה נקבע כממוצע לטווח ארוך. עם הזמן, יותר שאילתות מנותחות כדי לקבוע את הממוצע לטווח ארוך, ובכך להפחית את התוצאות החיוביות השגויות והשליליות השגויות. תוצאות מודל האמון משמשות לבחירת תת-קבוצה של תעבורה שציון החריגות שלה חורג מסף מסוים שנקבע באופן דינמי כדי לעבור לרמת העיבוד הבאה.

שלב 2. סיווג אירועים ומידול אובייקטים

ברמה זו, התוצאות שהושגו בשלבים הקודמים מסווגות ומשייכות לאירועים זדוניים ספציפיים. אירועים מסווגים על סמך הערך שהוקצה על ידי מסווגים של למידת מכונה כדי להבטיח שיעור דיוק עקבי מעל 90%. ביניהם:

• מודלים ליניאריים המבוססים על הלמה של ניימן-פירסון (חוק ההתפלגות הנורמלית מהגרף בתחילת המאמר)
• תמיכה במכונות וקטוריות באמצעות למידה רב-משתנית
• רשתות עצביות ואלגוריתם היער האקראי.

אירועי אבטחה מבודדים אלו משויכים לאחר מכן לנקודת קצה אחת לאורך זמן. בשלב זה נוצר תיאור איום, שעל פיו נוצרת תמונה מלאה כיצד הצליח התוקף הרלוונטי להגיע לתוצאות מסוימות.

סיווג אירועים. תת-הקבוצה החריגה מבחינה סטטיסטית מהרמה הקודמת מחולקת ל-100 קטגוריות או יותר באמצעות מסווגים. רוב המסווגים מבוססים על התנהגות אינדיבידואלית, יחסים קבוצתיים או התנהגות בקנה מידה גלובלי או מקומי, בעוד שאחרים יכולים להיות ספציפיים למדי. לדוגמה, המסווג יכול לציין תעבורת C&C, הרחבה חשודה או עדכון תוכנה לא מורשה. בהתבסס על תוצאות שלב זה נוצר מערך אירועים חריגים במערכת האבטחה, המסווגים לקטגוריות מסוימות.

דוגמנות אובייקטים. אם כמות הראיות התומכת בהשערה שאובייקט מסוים מזיק חורגת מסף המהותיות, נקבע איום. אירועים רלוונטיים שהשפיעו על הגדרת האיום קשורים לאיום כזה והופכים לחלק ממודל בדיד ארוך טווח של האובייקט. כאשר ראיות מצטברות עם הזמן, המערכת מזהה איומים חדשים כאשר סף המהותיות מגיע. ערך סף זה הוא דינמי ומותאם בצורה חכמה על סמך רמת הסיכון לאיום וגורמים נוספים. לאחר מכן, האיום מופיע בלוח המידע של ממשק האינטרנט ומועבר לשלב הבא.

רמה 3. מודל מערכות יחסים

מטרת מודל הקשרים היא לסנתז את התוצאות שהושגו ברמות קודמות מנקודת מבט גלובלית, תוך התחשבות לא רק בהקשר המקומי אלא גם בהקשר הגלובלי של האירוע הרלוונטי. בשלב זה תוכלו לקבוע כמה ארגונים נתקלו במתקפה כזו כדי להבין האם היא כוונה במיוחד אליכם או שהיא חלק מקמפיין עולמי, ופשוט נתפסתם.

אירועים מאושרים או מתגלים. תקרית מאומתת מרמזת על 99 עד 100% אמון מכיוון שהטכניקות והכלים הקשורים נצפו בעבר בפעולה בקנה מידה גדול יותר (גלובלי). תקריות שהתגלו הן ייחודיות לך ומהווים חלק ממסע פרסום ממוקד במיוחד. ממצאי העבר משותפים עם דרך פעולה ידועה, וחוסך לך זמן ומשאבים בתגובה. הם מגיעים עם כלי החקירה שאתה צריך כדי להבין מי תקף אותך ועד כמה הקמפיין מכוון לעסק הדיגיטלי שלך. כפי שאתה יכול לדמיין, מספר התקריות המאושרות עולה בהרבה על מספר התקריות שזוהו מהסיבה הפשוטה שאירועים מאושרים אינם כרוכים בעלויות רבות לתוקפים, בעוד שהתקריות שזוהו כן.
יקר כי הם צריכים להיות חדשים ומותאמים אישית. על ידי יצירת היכולת לזהות תקריות מאושרות, הכלכלה של המשחק עברה סוף סוף לטובת המגינים, והעניקה להם יתרון מובהק.

אימון רב-שכבתי של מערכת חיבור עצבית המבוססת על ETA

מפת סיכונים גלובלית

מפת הסיכונים העולמית נוצרת באמצעות ניתוח המיושם על ידי אלגוריתמים של למידת מכונה על אחד ממערכי הנתונים הגדולים מסוגו בתעשייה. הוא מספק נתונים סטטיסטיים התנהגותיים נרחבים לגבי שרתים באינטרנט, גם אם הם לא ידועים. שרתים כאלה קשורים להתקפות ועשויים להיות מעורבים או בשימוש כחלק מתקפה בעתיד. זו אינה "רשימה שחורה", אלא תמונה מקיפה של השרת המדובר מנקודת מבט אבטחה. מידע הקשרי זה על הפעילות של שרתים אלו מאפשר לגלאי למידת המכונה והמסווגים של Stealthwatch לחזות במדויק את רמת הסיכון הכרוכה בתקשורת עם שרתים כאלה.

אתה יכול לראות כרטיסים זמינים כאן.

מפת עולם המציגה 460 מיליון כתובות IP

כעת הרשת לומדת וקמה כדי להגן על הרשת שלך.

סוף סוף, נמצאה תרופת פלא?

למרבה הצער, לא. מניסיון בעבודה עם המערכת, אני יכול לומר שיש 2 בעיות גלובליות.

בעיה 1. מחיר. כל הרשת פרוסה על מערכת של סיסקו. זה גם טוב וגם רע. הצד הטוב הוא שאתה לא צריך לטרוח ולהתקין חבורה של פלאגים כמו D-Link, MikroTik וכו'. החיסרון הוא העלות העצומה של המערכת. בהתחשב במצב הכלכלי של העסק הרוסי, נכון לעכשיו רק בעלים עשירים של חברה או בנק גדול יכול להרשות לעצמו את הנס הזה.

בעיה 2: אימון. לא כתבתי במאמר את תקופת ההכשרה לרשת העצבית, אבל לא בגלל שהיא לא קיימת, אלא בגלל שהיא לומדת כל הזמן ואנחנו לא יכולים לחזות מתי היא תלמד. כמובן, ישנם כלים של סטטיסטיקה מתמטית (קח את אותו ניסוח של קריטריון ההתכנסות של פירסון), אבל אלה הם חצי מדדים. אנחנו מקבלים את ההסתברות לסנן תעבורה, וגם אז רק בתנאי שהמתקפה כבר נשלטת וידועה.

למרות 2 הבעיות הללו, עשינו קפיצת מדרגה גדולה בפיתוח אבטחת מידע בכלל והגנת רשת בפרט. עובדה זו יכולה להניע את המחקר של טכנולוגיות רשת ורשתות עצביות, שהן כעת כיוון מבטיח מאוד.

מקור: www.habr.com