StealthWatch: ინციდენტის ანალიზი და გამოძიება. ნაწილი 3

Cisco StealthWatch არის ანალიტიკური გადაწყვეტა ინფორმაციული უსაფრთხოების სფეროში, რომელიც უზრუნველყოფს განაწილებულ ქსელში საფრთხეების ყოვლისმომცველ მონიტორინგს. StealthWatch დაფუძნებულია NetFlow-ისა და IPFIX-ის შეგროვებაზე როუტერებიდან, სვიჩებიდან და სხვა ქსელური მოწყობილობებიდან. შედეგად, ქსელი ხდება მგრძნობიარე სენსორი და საშუალებას აძლევს ადმინისტრატორს დაათვალიეროს ის ადგილები, სადაც ქსელის უსაფრთხოების ტრადიციული მეთოდები, როგორიცაა შემდეგი თაობის Firewall, ვერ აღწევს.

წინა სტატიებში მე უკვე დავწერე StealthWatch-ის შესახებ: პირველი შესავალი და შესაძლებლობებიდა განლაგება და კონფიგურაცია. ახლა მე ვთავაზობ გადავიდეთ და განვიხილოთ, თუ როგორ ვიმუშაოთ სიგნალიზაციასთან და გამოიკვლიოთ უსაფრთხოების ინციდენტები, რომლებსაც გამოსავალი ქმნის. იქნება 6 მაგალითი, რომლებიც, იმედი მაქვს, კარგ წარმოდგენას მოგცემთ პროდუქტის სარგებლიანობის შესახებ.

პირველ რიგში, უნდა ითქვას, რომ StealthWatch-ს აქვს სიგნალიზაციის გარკვეული განაწილება ალგორითმებსა და არხებს შორის. პირველი არის სხვადასხვა სახის სიგნალიზაცია (შეტყობინებები), როდესაც ამოქმედდება, შეგიძლიათ საეჭვო ნივთების აღმოჩენა ქსელში. მეორე არის უსაფრთხოების ინციდენტები. ეს სტატია განიხილავს ალგორითმების 4 მაგალითს და არხების 2 მაგალითს.

1. ქსელის შიგნით ყველაზე დიდი ურთიერთქმედების ანალიზი

StealthWatch-ის დაყენების საწყისი ნაბიჯი არის ჰოსტების და ქსელების ჯგუფებად განსაზღვრა. ვებ ინტერფეისის ჩანართში კონფიგურაცია > მასპინძელი ჯგუფის მართვა ქსელები, ჰოსტები და სერვერები უნდა დაიყოს შესაბამის ჯგუფებად. თქვენ ასევე შეგიძლიათ შექმნათ თქვენი საკუთარი ჯგუფები. სხვათა შორის, Cisco StealthWatch-ში მასპინძლებს შორის ურთიერთქმედების ანალიზი საკმაოდ მოსახერხებელია, რადგან თქვენ შეგიძლიათ შეინახოთ არა მხოლოდ ძიების ფილტრები ნაკადის მიხედვით, არამედ თავად შედეგებიც.

დასაწყებად, ვებ ინტერფეისში უნდა გადახვიდეთ ჩანართზე ანალიზი > ნაკადის ძიება. შემდეგ თქვენ უნდა დააყენოთ შემდეგი პარამეტრები:

• ძიების ტიპი - ყველაზე პოპულარული საუბრები (ყველაზე პოპულარული ინტერაქცია)
• დროის დიაპაზონი - 24 საათი (დროის პერიოდი, შეგიძლიათ გამოიყენოთ სხვა)
• სახელის ძიება - ტოპ საუბრები შიგნით-შიდა (ნებისმიერი მეგობრული სახელი)
• თემა - მასპინძელი ჯგუფები → შიდა მასპინძლები (წყარო - შიდა ჰოსტების ჯგუფი)
• კავშირი (შეგიძლიათ მიუთითოთ პორტები, აპლიკაციები)
• თანატოლები - მასპინძელი ჯგუფები → შიდა მასპინძლები (დანიშნულების ადგილი - შიდა კვანძების ჯგუფი)
• Advanced Options-ში შეგიძლიათ დამატებით მიუთითოთ კოლექციონერი, საიდანაც ხდება მონაცემების ნახვა, გამოსავლის დახარისხება (ბაიტების, ნაკადების და ა.შ.) მიხედვით. დავტოვებ ნაგულისხმევად.

ღილაკზე დაჭერის შემდეგ ძებნა ნაჩვენებია ურთიერთქმედებების სია, რომლებიც უკვე დალაგებულია გადაცემული მონაცემების რაოდენობით.

ჩემს მაგალითში მასპინძელი 10.150.1.201 (სერვერი) გადაცემულია მხოლოდ ერთი თემის ფარგლებში X GB ტრაფიკი მასპინძელამდე 10.150.1.200 (კლიენტი) პროტოკოლით mysql. ღილაკი სვეტების მართვა საშუალებას გაძლევთ დაამატოთ მეტი სვეტი გამომავალ მონაცემებში.

შემდეგი, ადმინისტრატორის შეხედულებისამებრ, შეგიძლიათ შექმნათ მორგებული წესი, რომელიც ყოველთვის გამოიწვევს ამ ტიპის ურთიერთქმედებას და შეგატყობინებთ SNMP, ელ.ფოსტის ან Syslog-ის საშუალებით.

2. ყველაზე ნელი კლიენტ-სერვერის ურთიერთქმედების ანალიზი ქსელში შეფერხებების გამო

Tags SRT (სერვერის პასუხის დრო), RTT (ორმხრივი მგზავრობის დრო) საშუალებას გაძლევთ გაარკვიოთ სერვერის შეფერხებები და საერთო ქსელის შეფერხებები. ეს ინსტრუმენტი განსაკუთრებით სასარგებლოა, როდესაც საჭიროა სწრაფად იპოვოთ მომხმარებლის საჩივრების მიზეზი ნელი აპლიკაციის შესახებ.

შენიშვნა: Netflow-ის თითქმის ყველა ექსპორტიორი არ ვიცი როგორ გაგზავნეთ SRT, RTT ტეგები, ამიტომ ხშირად, იმისათვის, რომ ნახოთ ასეთი მონაცემები FlowSensor-ზე, თქვენ უნდა დააკონფიგურიროთ ტრაფიკის ასლის გაგზავნა ქსელის მოწყობილობებიდან. FlowSensor თავის მხრივ აგზავნის გაფართოებულ IPFIX-ს FlowCollector-ში.

უფრო მოსახერხებელია ამ ანალიზის ჩატარება StealtWatch java აპლიკაციაში, რომელიც დაინსტალირებულია ადმინისტრატორის კომპიუტერზე.

ჩართულია მაუსის მარჯვენა ღილაკი მასპინძლების შიგნით და გადადით ჩანართზე ნაკადის ცხრილი.

Დააკლიკეთ ფილტრი და დააყენეთ საჭირო პარამეტრები. Როგორც მაგალითი:

• თარიღი/დრო - ბოლო 3 დღის განმავლობაში
• შესრულება — საშუალო ორმხრივი დრო >=50 ms

მონაცემების ჩვენების შემდეგ უნდა დავამატოთ ჩვენთვის საინტერესო RTT და SRT ველები. ამისათვის დააწკაპუნეთ სვეტზე ეკრანის სურათზე და აირჩიეთ მაუსის მარჯვენა ღილაკით სვეტების მართვა. შემდეგი, დააჭირეთ RTT, SRT პარამეტრებს.

მოთხოვნის დამუშავების შემდეგ, მე დავახარისხე RTT საშუალოდ და ვნახე ყველაზე ნელი ურთიერთქმედება.

დეტალური ინფორმაციის მისაღებად, დააწკაპუნეთ მაუსის მარჯვენა ღილაკით ნაკადზე და აირჩიეთ სწრაფი ხედი ნაკადისთვის.

ეს ინფორმაცია მიუთითებს, რომ მასპინძელი 10.201.3.59 ჯგუფიდან გაყიდვების და მარკეტინგის პროტოკოლით NFS მიმართავს DNS სერვერი წუთი და 23 წამი და უბრალოდ საშინელი ჩამორჩენა აქვს. ჩანართში ინტერფეისები შეგიძლიათ გაიგოთ, თუ რომელი Netflow მონაცემთა ექსპორტიორისგან არის მიღებული ინფორმაცია. ჩანართში მაგიდის ნაჩვენებია უფრო დეტალური ინფორმაცია ურთიერთქმედების შესახებ.

შემდეგი, თქვენ უნდა გაარკვიოთ, რომელი მოწყობილობები აგზავნიან ტრაფიკს FlowSensor-ზე და პრობლემა, სავარაუდოდ, იქ მდგომარეობს.

უფრო მეტიც, StealthWatch უნიკალურია იმით, რომ ის ატარებს დედუპლიკაცია მონაცემები (აერთიანებს იგივე ნაკადებს). აქედან გამომდინარე, შეგიძლიათ შეაგროვოთ თითქმის ყველა Netflow მოწყობილობიდან და არ შეგეშინდეთ, რომ იქნება ბევრი დუბლიკატი მონაცემი. პირიქით, ამ სქემაში დაგეხმარებათ იმის გაგება, თუ რომელ ჰოპს აქვს ყველაზე დიდი შეფერხება.

3. HTTPS კრიპტოგრაფიული პროტოკოლების აუდიტი

ETA (დაშიფრული ტრაფიკის ანალიტიკა) არის Cisco-ს მიერ შემუშავებული ტექნოლოგია, რომელიც საშუალებას გაძლევთ აღმოაჩინოთ მავნე კავშირები დაშიფრულ ტრაფიკში მისი გაშიფვრის გარეშე. უფრო მეტიც, ეს ტექნოლოგია საშუალებას გაძლევთ „გაანალიზოთ“ HTTPS TLS ვერსიებად და კრიპტოგრაფიულ პროტოკოლებად, რომლებიც გამოიყენება კავშირების დროს. ეს ფუნქცია განსაკუთრებით გამოსადეგია, როდესაც გჭირდებათ ქსელის კვანძების აღმოჩენა, რომლებიც იყენებენ სუსტ კრიპტო სტანდარტებს.

შენიშვნა: ჯერ უნდა დააინსტალიროთ ქსელის აპლიკაცია StealthWatch-ზე - ETA კრიპტოგრაფიული აუდიტი.

გადადით ჩანართზე დაფები → ETA კრიპტოგრაფიული აუდიტი და შეარჩიეთ მასპინძლების ჯგუფი, რომლის ანალიზსაც ვგეგმავთ. საერთო სურათისთვის, მოდით ავირჩიოთ მასპინძლების შიგნით.

თქვენ ხედავთ, რომ გამოდის TLS ვერსია და შესაბამისი კრიპტო სტანდარტი. სვეტში ჩვეულებრივი სქემის მიხედვით აქციები წადი ნაკადების ნახვა და ძებნა იწყება ახალ ჩანართში.

გამომავალიდან ჩანს, რომ მასპინძელი 198.19.20.136 მეტი 12 საათი გამოიყენა HTTPS TLS 1.2-ით, სადაც დაშიფვრის ალგორითმი AES-256 და ჰეშის ფუნქცია SHA-384. ამრიგად, ETA საშუალებას გაძლევთ იპოვოთ სუსტი ალგორითმები ქსელში.

4. ქსელის ანომალიის ანალიზი

Cisco StealthWatch-ს შეუძლია ამოიცნოს ტრაფიკის ანომალიები ქსელში სამი ხელსაწყოს გამოყენებით: ძირითადი მოვლენები (უსაფრთხოების ღონისძიებები), ურთიერთობის მოვლენები (სეგმენტების, ქსელის კვანძების ურთიერთქმედების მოვლენები) და ქცევითი ანალიზი.

ქცევითი ანალიზი, თავის მხრივ, საშუალებას აძლევს დროთა განმავლობაში შექმნას ქცევის მოდელი კონკრეტული მასპინძლის ან მასპინძელთა ჯგუფისთვის. რაც უფრო მეტი ტრაფიკი გადის StealthWatch-ში, მით უფრო ზუსტი იქნება გაფრთხილებები ამ ანალიზის წყალობით. თავდაპირველად, სისტემა ბევრს არასწორად ააქტიურებს, ამიტომ წესები ხელით უნდა "გადაუგრიხეს". გირჩევთ, უგულებელყოთ ასეთი მოვლენები პირველი რამდენიმე კვირის განმავლობაში, რადგან სისტემა თავად მოარგებს ან დაამატებს მათ გამონაკლისებს.

ქვემოთ მოცემულია წინასწარ განსაზღვრული წესის მაგალითი ანომალიები, რომელშიც ნათქვამია, რომ ღონისძიება განგაშის გარეშე ჩაირთვება თუ Inside Hosts ჯგუფში ჰოსტი ურთიერთქმედებს Inside Hosts ჯგუფთან და 24 საათის განმავლობაში ტრაფიკი გადააჭარბებს 10 მეგაბაიტს.

მაგალითად, ავიღოთ განგაში მონაცემთა შეგროვება, რაც ნიშნავს, რომ რომელიმე წყაროს/დანიშნულების ჰოსტმა ატვირთა/ჩამოტვირთა არანორმალურად დიდი რაოდენობით მონაცემები ჰოსტების ჯგუფიდან ან ჰოსტიდან. დააწკაპუნეთ ღონისძიებაზე და გადადით ცხრილში, სადაც მითითებულია გამომწვევი ჰოსტები. შემდეგი, აირჩიეთ ჰოსტი, რომელიც ჩვენ გვაინტერესებს სვეტში მონაცემთა შეგროვება.

ნაჩვენებია მოვლენა, რომელიც მიუთითებს, რომ აღმოჩენილია 162 ათასი „ქულა“ და პოლიტიკის მიხედვით, ნებადართულია 100 ათასი „ქულა“ - ეს არის StealthWatch-ის შიდა მეტრიკა. სვეტში აქციები ბიძგი ნაკადების ნახვა.

ჩვენ შეგვიძლია დავაკვირდეთ ამას მოცემული მასპინძელი ღამით მასპინძელთან ურთიერთობდა 10.201.3.47 დეპარტამენტიდან გაყიდვები და მარკეტინგი პროტოკოლით HTTPS და გადმოწერილი X GB. შესაძლოა ეს მაგალითი მთლად წარმატებული არ იყოს, მაგრამ რამდენიმე ასეული გიგაბაიტისთვისაც კი ურთიერთქმედების გამოვლენა ზუსტად ანალოგიურად ხდება. ამიტომ, ანომალიების შემდგომმა გამოკვლევამ შეიძლება გამოიწვიოს საინტერესო შედეგები.

შენიშვნა: SMC ვებ ინტერფეისში მონაცემები ჩანართებშია Dashboards ნაჩვენებია მხოლოდ ბოლო კვირისთვის და ჩანართში მონიტორის ბოლო 2 კვირის განმავლობაში. ძველი მოვლენების გასაანალიზებლად და მოხსენებების შესაქმნელად, თქვენ უნდა იმუშაოთ java კონსოლთან ადმინისტრატორის კომპიუტერზე.

5. შიდა ქსელის სკანირების პოვნა

ახლა გადავხედოთ არხების რამდენიმე მაგალითს - ინფორმაციული უსაფრთხოების ინციდენტები. ეს ფუნქცია უფრო მეტად ინტერესდება უსაფრთხოების პროფესიონალებისთვის.

StealthWatch-ში სკანირების რამდენიმე წინასწარ განსაზღვრული ტიპია:

• პორტის სკანირება - წყარო სკანირებს მრავალ პორტს დანიშნულების ჰოსტზე.
• Adr tcp სკანირება - წყარო სკანირებს მთელ ქსელს იმავე TCP პორტზე, ცვლის დანიშნულების IP მისამართს. ამ შემთხვევაში, წყარო იღებს TCP Reset პაკეტებს ან საერთოდ არ იღებს პასუხებს.
• Adr udp სკანირება - წყარო სკანირებს მთელ ქსელს იმავე UDP პორტზე, დანიშნულების IP მისამართის შეცვლისას. ამ შემთხვევაში, წყარო იღებს ICMP Port Unreachable პაკეტებს ან საერთოდ არ იღებს პასუხებს.
• Ping Scan - წყარო აგზავნის ICMP მოთხოვნებს მთელ ქსელში პასუხების მოსაძებნად.
• Stealth Scan tсp/udp - წყარო იყენებდა ერთსა და იმავე პორტს დანიშნულების კვანძის რამდენიმე პორტთან ერთდროულად დასაკავშირებლად.

იმისათვის, რომ უფრო მოსახერხებელი იყოს ყველა შიდა სკანერის ერთდროულად პოვნა, არსებობს ქსელის აპლიკაცია StealthWatch - ხილვადობის შეფასება. ჩანართზე გადასვლა დაფები → ხილვადობის შეფასება → შიდა ქსელის სკანერები თქვენ ნახავთ სკანირებასთან დაკავშირებულ უსაფრთხოების ინციდენტებს ბოლო 2 კვირის განმავლობაში.

ღილაკზე დაჭერით დაწვრილებით, ნახავთ თითოეული ქსელის სკანირების დაწყებას, ტრაფიკის ტენდენციას და შესაბამის სიგნალიზაციას.

შემდეგი, თქვენ შეგიძლიათ „ჩავარდნას“ ჰოსტში წინა სკრინშოტის ჩანართიდან და ნახოთ უსაფრთხოების მოვლენები, ისევე როგორც გასული კვირის აქტივობა ამ მასპინძლისთვის.

მაგალითად, გავაანალიზოთ მოვლენა პორტის სკანირება მასპინძლისგან 10.201.3.149 on 10.201.0.72, დაჭერით მოქმედებები > ასოცირებული ნაკადები. იწყება თემების ძიება და ნაჩვენებია შესაბამისი ინფორმაცია.

როგორ ვხედავთ ამ მასპინძელს მისი ერთ-ერთი პორტიდან 51508/TCP სკანირებულია 3 საათის წინ დანიშნულების ჰოსტი პორტის მიხედვით 22, 28, 42, 41, 36, 40 (TCP). ზოგიერთი ველი ასევე არ აჩვენებს ინფორმაციას, რადგან ყველა Netflow ველი არ არის მხარდაჭერილი Netflow ექსპორტიორზე.

6. ჩამოტვირთული მავნე პროგრამის ანალიზი CTA-ს გამოყენებით

CTA (კოგნიტური საფრთხეების ანალიტიკა) — Cisco ღრუბლოვანი ანალიტიკა, რომელიც შესანიშნავად აერთიანებს Cisco StealthWatch-ს და საშუალებას გაძლევთ შეავსოთ ხელმოწერის გარეშე ანალიზი ხელმოწერის ანალიზით. ეს შესაძლებელს ხდის ტროას, ქსელის ჭიების, ნულოვანი დღის მავნე პროგრამების და სხვა მავნე პროგრამების აღმოჩენას და მათ ქსელში გავრცელებას. ასევე, ადრე ნახსენები ETA ტექნოლოგია საშუალებას გაძლევთ გაანალიზოთ ასეთი მავნე კომუნიკაციები დაშიფრულ ტრაფიკში.

ფაქტიურად პირველივე ჩანართზე ვებ ინტერფეისში არის სპეციალური ვიჯეტი კოგნიტური საფრთხეების ანალიტიკა. მოკლე მიმოხილვა მიუთითებს მომხმარებლის ჰოსტებზე აღმოჩენილ საფრთხეებზე: ტროას, თაღლითური პროგრამული უზრუნველყოფა, შემაშფოთებელი რეკლამა. სიტყვა "დაშიფრული" რეალურად მიუთითებს ETA-ს მუშაობაზე. მასპინძელზე დაწკაპუნებით გამოჩნდება ყველა ინფორმაცია მის შესახებ, უსაფრთხოების ღონისძიებები, CTA ჟურნალების ჩათვლით.

CTA-ის თითოეულ სტადიაზე გადაადგილებით, ღონისძიება აჩვენებს დეტალურ ინფორმაციას ურთიერთქმედების შესახებ. სრული ანალიტიკისთვის დააწკაპუნეთ აქ ინციდენტის დეტალების ნახვადა თქვენ გადაგიყვანთ ცალკე კონსოლში კოგნიტური საფრთხეების ანალიტიკა.

ზედა მარჯვენა კუთხეში ფილტრი საშუალებას გაძლევთ აჩვენოთ მოვლენები სიმძიმის დონის მიხედვით. როდესაც თქვენ მიუთითებთ კონკრეტულ ანომალიაზე, ჟურნალები გამოჩნდება ეკრანის ბოლოში შესაბამისი ქრონოლოგიით მარჯვნივ. ამრიგად, ინფორმაციული უსაფრთხოების სპეციალისტს ნათლად ესმის, რომელი ინფიცირებული მასპინძელი, რომელი მოქმედებების შემდეგ დაიწყო რომელი მოქმედებების შესრულება.

ქვემოთ მოცემულია კიდევ ერთი მაგალითი - საბანკო ტროას, რომელმაც დაინფიცირდა ჰოსტი 198.19.30.36. ამ ჰოსტმა დაიწყო ურთიერთქმედება მავნე დომენებთან და ჟურნალები აჩვენებს ინფორმაციას ამ ურთიერთქმედების ნაკადის შესახებ.

შემდეგი, ერთ-ერთი საუკეთესო გამოსავალი, რაც შეიძლება იყოს, არის მასპინძლის კარანტინი, მშობლიურის წყალობით ინტეგრაცია Cisco ISE-თან შემდგომი მკურნალობისა და ანალიზისთვის.

დასკვნა

Cisco StealthWatch გადაწყვეტა ერთ-ერთი ლიდერია ქსელის მონიტორინგის პროდუქტებს შორის, როგორც ქსელის ანალიზის, ასევე ინფორმაციის უსაფრთხოების თვალსაზრისით. მისი წყალობით, თქვენ შეგიძლიათ გამოავლინოთ არალეგიტიმური ურთიერთქმედება ქსელში, აპლიკაციის დაგვიანება, ყველაზე აქტიური მომხმარებლები, ანომალიები, მავნე პროგრამები და APT. გარდა ამისა, შეგიძლიათ იპოვოთ სკანერები, პენტესტერები და ჩაატაროთ HTTPS ტრაფიკის კრიპტო-აუდიტი. თქვენ შეგიძლიათ იპოვოთ კიდევ უფრო მეტი გამოყენების შემთხვევები აქ ლინკები.

თუ გსურთ შეამოწმოთ რამდენად შეუფერხებლად და ეფექტურად მუშაობს ყველაფერი თქვენს ქსელში, გაგზავნეთ თქვან.
უახლოეს მომავალში ვგეგმავთ კიდევ რამდენიმე ტექნიკურ პუბლიკაციას ინფორმაციული უსაფრთხოების სხვადასხვა პროდუქტებზე. თუ გაინტერესებთ ეს თემა, მიჰყევით განახლებებს ჩვენს არხებზე (დეპეშა, Facebook, VK, TS Solution ბლოგი)!

წყარო: www.habr.com