StealthWatch: 사고 분석 및 조사. 3부

시스코 스텔스워치 분산 네트워크의 위협에 대한 포괄적인 모니터링을 제공하는 정보 보안 분야의 분석 솔루션입니다. StealthWatch는 라우터, 스위치 및 기타 네트워크 장치에서 NetFlow 및 IPFIX를 수집하는 것을 기반으로 합니다. 결과적으로 네트워크는 민감한 센서가 되어 관리자가 차세대 방화벽과 같은 기존 네트워크 보안 방법이 도달할 수 없는 곳을 조사할 수 있습니다.

이전 기사에서 저는 StealthWatch에 대해 이미 썼습니다. 첫 소개와 기회과 배포 및 구성. 이제 계속해서 알람 작업 방법과 솔루션에서 발생하는 보안 사고를 조사하는 방법에 대해 논의하겠습니다. 제품의 유용성에 대한 좋은 아이디어를 줄 수 있는 6가지 예가 있을 것입니다.

첫째, StealthWatch에는 알고리즘과 피드 간에 어느 정도 경보가 분산되어 있다고 말해야 합니다. 첫 번째는 다양한 종류의 알람(알림)으로, 트리거되면 네트워크에서 의심스러운 것을 감지할 수 있습니다. 두 번째는 보안사고입니다. 이 문서에서는 트리거된 알고리즘의 4가지 예와 피드의 2가지 예를 살펴보겠습니다.

1. 네트워크 내 최대 상호작용 분석

StealthWatch 설정의 초기 단계는 호스트와 네트워크를 그룹으로 정의하는 것입니다. 웹 인터페이스 탭에서 구성 > 호스트 그룹 관리 네트워크, 호스트 및 서버는 적절한 그룹으로 분류되어야 합니다. 자신만의 그룹을 만들 수도 있습니다. 그런데 Cisco StealthWatch에서 호스트 간의 상호 작용을 분석하는 것은 매우 편리합니다. 스트림별로 검색 필터를 저장할 수 있을 뿐만 아니라 결과 자체도 저장할 수 있기 때문입니다.

시작하려면 웹 인터페이스에서 탭으로 이동해야 합니다. 분석 > 흐름 검색. 그런 다음 다음 매개변수를 설정해야 합니다.

• 검색 유형 - 인기 대화(가장 인기 있는 상호작용)
• 시간 범위 — 24시간(다른 기간을 사용할 수 있음)
• 검색 이름 - 내부-내부 주요 대화(친숙한 이름)
• 제목 - 호스트 그룹 → 내부 호스트(소스 - 내부 호스트 그룹)
• 연결(포트, 애플리케이션 지정 가능)
• Peer - 호스트 그룹 → 내부 호스트(대상 - 내부 노드 그룹)
• 고급 옵션에서는 데이터가 표시되는 수집기를 추가로 지정하여 출력을 정렬(바이트, 스트림 등 기준)할 수 있습니다. 기본값으로 두겠습니다.

버튼을 누른 후 검색 전송된 데이터 양에 따라 이미 정렬된 상호 작용 목록이 표시됩니다.

내 예에서는 호스트 10.150.1.201 (서버) 하나의 스레드 내에서만 전송됨 1.5 GB 호스트로의 트래픽 10.150.1.200 (클라이언트) 프로토콜별 MySQL은. 단추 열 관리 출력 데이터에 더 많은 열을 추가할 수 있습니다.

그런 다음 관리자의 재량에 따라 항상 이러한 유형의 상호 작용을 트리거하고 SNMP, 이메일 또는 Syslog를 통해 알리는 사용자 정의 규칙을 생성할 수 있습니다.

2. 네트워크 내에서 가장 느린 클라이언트-서버 상호 작용의 지연 분석

태그 SRT(서버 응답 시간), RTT(왕복 시간) 서버 지연과 일반적인 네트워크 지연을 확인할 수 있습니다. 이 도구는 느리게 실행되는 애플리케이션에 대한 사용자 불만의 원인을 신속하게 찾아야 할 때 특히 유용합니다.

주의: 거의 모든 Netflow 내보내기 프로그램 방법을 모르겠어 SRT, RTT 태그를 자주 전송하므로 FlowSensor에서 이러한 데이터를 보려면 네트워크 장치에서 트래픽 사본 전송을 구성해야 합니다. FlowSensor는 확장된 IPFIX를 FlowCollector로 보냅니다.

관리자 컴퓨터에 설치된 StealtWatch Java 애플리케이션에서 이 분석을 수행하는 것이 더 편리합니다.

마우스 오른쪽 버튼 켜짐 내부 호스트 그리고 탭으로 가세요 흐름표.

클릭 필터 그리고 필요한 매개변수를 설정합니다. 예로서:

• 날짜/시간 - 지난 3일 동안
• 성능 — 평균 왕복 시간 >=50ms

데이터를 표시한 후 관심 있는 RTT 및 SRT 필드를 추가해야 합니다. 이렇게 하려면 스크린샷의 열을 클릭하고 마우스 오른쪽 버튼으로 선택하세요. 열 관리. 다음으로 RTT, SRT 매개변수를 클릭하세요.

요청을 처리한 후 RTT 평균을 기준으로 정렬하여 가장 느린 상호작용을 확인했습니다.

자세한 정보에 들어가려면 스트림을 마우스 오른쪽 버튼으로 클릭하고 흐름에 대한 빠른 보기.

이 정보는 호스트가 10.201.3.59 그룹에서 영업 및 마케팅 프로토콜에 따라 NFS 호소하다 DNS 서버 23분 XNUMX초 동안 엄청난 지연이 발생했습니다. 탭에서 인터페이스 정보를 얻은 Netflow 데이터 내보내기 프로그램을 확인할 수 있습니다. 탭에서 작업대 상호 작용에 대한 자세한 정보가 표시됩니다.

다음으로 어떤 장치가 FlowSensor로 트래픽을 보내는지, 거기에 문제가 있을 가능성이 가장 높은지 알아내야 합니다.

또한 StealthWatch는 다음과 같은 기능을 수행한다는 점에서 독특합니다. 중복 제거 데이터(동일한 스트림을 결합). 따라서 거의 모든 Netflow 장치에서 수집할 수 있으며 중복된 데이터가 많을 것을 두려워하지 않습니다. 정반대로, 이 체계에서는 어떤 홉이 가장 큰 지연을 갖는지 이해하는 데 도움이 될 것입니다.

3. HTTPS 암호화 프로토콜 감사

ETA(암호화된 트래픽 분석) 암호화된 트래픽을 해독하지 않고도 악의적인 연결을 탐지할 수 있도록 Cisco에서 개발한 기술입니다. 또한 이 기술을 사용하면 HTTPS를 연결 중에 사용되는 TLS 버전 및 암호화 프로토콜로 "분석"할 수 있습니다. 이 기능은 약한 암호화 표준을 사용하는 네트워크 노드를 감지해야 할 때 특히 유용합니다.

주의: 먼저 StealthWatch에 네트워크 앱을 설치해야 합니다. - ETA 암호화 감사.

탭으로 이동 대시보드 → ETA 암호화 감사 분석할 호스트 그룹을 선택합니다. 전체적인 그림을 보려면 다음을 선택하세요. 내부 호스트.

TLS 버전과 해당 암호화 표준이 출력되는 것을 확인할 수 있습니다. 칼럼의 일반적인 계획에 따르면 행위 이동 흐름 보기 새 탭에서 검색이 시작됩니다.

출력에서 호스트가 198.19.20.136 위에 12 시간 암호화 알고리즘은 TLS 1.2와 함께 HTTPS를 사용했습니다. AES-256 그리고 해시 함수 SHA-384. 따라서 ETA를 사용하면 네트워크에서 약한 알고리즘을 찾을 수 있습니다.

4. 네트워크 이상 분석

Cisco StealthWatch는 다음 세 가지 도구를 사용하여 네트워크의 트래픽 이상 현상을 인식할 수 있습니다. 핵심 이벤트 (보안 이벤트), 관계 이벤트 (세그먼트, 네트워크 노드 간의 상호 작용 이벤트) 및 행동 분석.

행동 분석을 통해 시간이 지남에 따라 특정 호스트 또는 호스트 그룹에 대한 행동 모델을 구축할 수 있습니다. StealthWatch를 통과하는 트래픽이 많을수록 이 분석 덕분에 알림이 더 정확해집니다. 처음에는 시스템이 잘못 작동하는 경우가 많으므로 규칙을 직접 "비틀어야" 합니다. 시스템이 자동으로 조정되므로 처음 몇 주 동안은 이러한 이벤트를 무시하거나 예외에 추가하는 것이 좋습니다.

다음은 사전 정의된 규칙의 예입니다. 변칙, 다음과 같은 경우 알람 없이 이벤트가 실행됨을 나타냅니다. 내부 호스트 그룹의 호스트는 내부 호스트 그룹과 상호 작용하며 24시간 이내에 트래픽이 10MB를 초과합니다..

예를 들어 알람을 켜자 데이터 축적이는 일부 소스/대상 호스트가 호스트 그룹 또는 호스트에서 비정상적으로 많은 양의 데이터를 업로드/다운로드했음을 의미합니다. 이벤트를 클릭하고 트리거 호스트가 표시된 테이블로 이동합니다. 다음으로 열에서 관심 있는 호스트를 선택합니다. 데이터 축적.

162개의 "포인트"가 감지되었음을 나타내는 이벤트가 표시되며 정책에 따라 100개의 "포인트"가 허용됩니다. 이는 내부 StealthWatch 지표입니다. 칼럼에서 행위 중요하다 흐름 보기.

우리는 그것을 관찰할 수 있다 주어진 호스트 밤에는 호스트와 대화를 나눴습니다. 10.201.3.47 부서에서 영업 및 마케팅 프로토콜에 따라 HTTPS 그리고 다운로드됨 1.4 GB. 어쩌면 이 예가 완전히 성공하지는 않을 수도 있지만, 수백 기가바이트에 대한 상호 작용 탐지도 똑같은 방식으로 수행됩니다. 따라서 이상 현상에 대한 추가 조사를 통해 흥미로운 결과를 얻을 수 있습니다.

주의: SMC 웹 인터페이스에서 데이터는 탭에 있습니다. 대시 보드 지난주와 탭에만 표시됩니다. 모니터 지난 2주 동안. 이전 이벤트를 분석하고 보고서를 생성하려면 관리자 컴퓨터의 Java 콘솔을 사용하여 작업해야 합니다.

5. 내부 네트워크 스캔 찾기

이제 정보 보안 사고와 같은 피드의 몇 가지 예를 살펴보겠습니다. 이 기능은 보안 전문가에게 더 큰 관심을 끌고 있습니다.

StealthWatch에는 몇 가지 사전 설정된 검색 이벤트 유형이 있습니다.

• 포트 스캔 - 소스가 대상 호스트의 여러 포트를 스캔합니다.
• Addr tcp scan - 소스는 동일한 TCP 포트에서 전체 네트워크를 스캔하여 대상 IP 주소를 변경합니다. 이 경우 소스는 TCP 재설정 패킷을 수신하거나 전혀 응답을 수신하지 않습니다.
• Addr udp scan - 소스는 대상 IP 주소를 변경하면서 동일한 UDP 포트에서 전체 네트워크를 검색합니다. 이 경우 소스는 ICMP 포트 연결 불가 패킷을 수신하거나 응답을 전혀 수신하지 않습니다.
• 핑 스캔 - 소스는 답변을 검색하기 위해 전체 네트워크에 ICMP 요청을 보냅니다.
• 스텔스 스캔 tсp/udp - 소스는 동일한 포트를 사용하여 대상 노드의 여러 포트에 동시에 연결했습니다.

모든 내부 스캐너를 한 번에 더 편리하게 찾을 수 있도록 네트워크 앱이 있습니다. StealthWatch - 가시성 평가. 탭으로 이동 대시보드 → 가시성 평가 → 내부 네트워크 스캐너 지난 2주 동안의 검색 관련 보안 사고를 확인할 수 있습니다.

버튼을 클릭하면 세부 정보, 각 네트워크의 검색 시작, 트래픽 추세 및 해당 알람을 볼 수 있습니다.

다음으로, 이전 스크린샷의 탭에서 호스트에 "실패"하여 보안 이벤트와 이 호스트에 대한 지난 주 활동을 확인할 수 있습니다.

예를 들어 이벤트를 분석해 보겠습니다. 포트 스캔 호스트에서 10.201.3.149 에 10.201.0.72, 누르기 작업 > 관련 흐름. 스레드 검색이 시작되고 관련 정보가 표시됩니다.

포트 중 하나에서 이 호스트를 보는 방법 51508/TCP 3시간 전에 대상 호스트를 포트별로 스캔했습니다. 22, 28, 42, 41, 36, 40(TCP). Netflow 내보내기에서 모든 Netflow 필드가 지원되는 것은 아니기 때문에 일부 필드에는 정보가 표시되지 않습니다.

6. CTA를 활용한 다운로드 악성코드 분석

CTA(인지 위협 분석) — Cisco StealthWatch와 완벽하게 통합되며 시그니처 분석을 통해 시그니처 없는 분석을 보완할 수 있는 Cisco 클라우드 분석입니다. 이를 통해 트로이 목마, 네트워크 웜, 제로데이 악성 코드 및 기타 악성 코드를 탐지하고 네트워크 내에서 배포할 수 있습니다. 또한 앞서 언급한 ETA 기술을 사용하면 암호화된 트래픽에서 이러한 악성 통신을 분석할 수 있습니다.

말 그대로 웹 인터페이스의 첫 번째 탭에는 특별한 위젯이 있습니다. 인지 위협 분석. 간략한 요약은 사용자 호스트에서 감지된 위협(트로이 목마, 사기성 소프트웨어, 성가신 애드웨어)을 나타냅니다. "암호화됨"이라는 단어는 실제로 ETA의 작업을 나타냅니다. 호스트를 클릭하면 CTA 로그를 포함한 보안 이벤트에 대한 모든 정보가 나타납니다.

CTA의 각 단계 위로 마우스를 가져가면 이벤트에 상호 작용에 대한 자세한 정보가 표시됩니다. 전체 분석을 보려면 여기를 클릭하세요. 사고 세부정보 보기, 별도의 콘솔로 이동됩니다. 인지 위협 분석.

오른쪽 상단 모서리에 있는 필터를 사용하면 심각도 수준별로 이벤트를 표시할 수 있습니다. 특정 이상 현상을 가리키면 오른쪽에 해당 타임라인과 함께 화면 하단에 로그가 나타납니다. 따라서 정보 보안 전문가는 어떤 감염된 호스트가 어떤 작업을 수행하기 시작했는지 명확하게 이해합니다.

다음은 또 다른 예입니다. 호스트를 감염시킨 뱅킹 트로이 목마입니다. 198.19.30.36. 이 호스트는 악성 도메인과 상호 작용하기 시작했으며 로그에는 이러한 상호 작용의 흐름에 대한 정보가 표시됩니다.

다음으로, 가능한 최고의 솔루션 중 하나는 네이티브 덕분에 호스트를 격리하는 것입니다. 통합 추가 처리 및 분석을 위해 Cisco ISE와 협력합니다.

결론

Cisco StealthWatch 솔루션은 네트워크 분석 및 정보 보안 측면에서 네트워크 모니터링 제품 중 선두주자 중 하나입니다. 덕분에 네트워크 내의 불법적인 상호 작용, 애플리케이션 지연, 가장 활동적인 사용자, 이상 현상, 악성 코드 및 APT를 탐지할 수 있습니다. 또한 스캐너, 침투 테스터를 찾고 HTTPS 트래픽에 대한 암호화 감사를 수행할 수 있습니다. 더 많은 사용 사례를 다음에서 찾을 수 있습니다. 링크.

네트워크에서 모든 것이 얼마나 원활하고 효율적으로 작동하는지 확인하려면 다음을 보내십시오. 의뢰.
가까운 미래에 우리는 다양한 정보 보안 제품에 대한 기술 간행물을 더 많이 출판할 계획입니다. 이 주제에 관심이 있으시면 당사 채널(텔레그램, 페이스북, VK, TS 솔루션 블로그)!

출처 : habr.com