സ്റ്റെൽത്ത് വാച്ച്: സംഭവ വിശകലനവും അന്വേഷണവും. ഭാഗം 3

സിസ്കോ സ്റ്റെൽത്ത് വാച്ച് വിതരണം ചെയ്ത നെറ്റ്‌വർക്കിലെ ഭീഷണികളുടെ സമഗ്രമായ നിരീക്ഷണം നൽകുന്ന വിവര സുരക്ഷാ മേഖലയിലെ ഒരു വിശകലന പരിഹാരമാണ്. റൂട്ടറുകൾ, സ്വിച്ചുകൾ, മറ്റ് നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ എന്നിവയിൽ നിന്ന് NetFlow, IPFIX എന്നിവ ശേഖരിക്കുന്നതിനെ അടിസ്ഥാനമാക്കിയുള്ളതാണ് StealthWatch. തൽഫലമായി, നെറ്റ്‌വർക്ക് ഒരു സെൻസിറ്റീവ് സെൻസറായി മാറുകയും പരമ്പരാഗത നെറ്റ്‌വർക്ക് സുരക്ഷാ രീതികളായ നെക്സ്റ്റ് ജനറേഷൻ ഫയർവാൾ പോലുള്ള സ്ഥലങ്ങളിലേക്ക് എത്തിനോക്കാൻ അഡ്മിനിസ്ട്രേറ്ററെ അനുവദിക്കുകയും ചെയ്യുന്നു.

മുമ്പത്തെ ലേഖനങ്ങളിൽ ഞാൻ സ്റ്റെൽത്ത് വാച്ചിനെക്കുറിച്ച് ഇതിനകം എഴുതിയിട്ടുണ്ട്: ആദ്യ ആമുഖവും അവസരങ്ങളും, അതുപോലെ തന്നെ വിന്യാസവും കോൺഫിഗറേഷനും. അലാറങ്ങൾ ഉപയോഗിച്ച് എങ്ങനെ പ്രവർത്തിക്കാമെന്നും പരിഹാരം സൃഷ്ടിക്കുന്ന സുരക്ഷാ സംഭവങ്ങൾ അന്വേഷിക്കാമെന്നും ചർച്ച ചെയ്യാനും ഇപ്പോൾ ഞാൻ നിർദ്ദേശിക്കുന്നു. ഉൽപ്പന്നത്തിന്റെ ഉപയോഗത്തെക്കുറിച്ച് നല്ല ആശയം നൽകുമെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്ന 6 ഉദാഹരണങ്ങൾ ഉണ്ടാകും.

ആദ്യം, സ്റ്റെൽത്ത് വാച്ചിന് അൽഗോരിതങ്ങൾക്കും ഫീഡുകൾക്കുമിടയിൽ അലാറങ്ങളുടെ ചില വിതരണം ഉണ്ടെന്ന് പറയണം. ആദ്യത്തേത് വിവിധ തരത്തിലുള്ള അലാറങ്ങളാണ് (അറിയിപ്പുകൾ), ട്രിഗർ ചെയ്യുമ്പോൾ, നിങ്ങൾക്ക് നെറ്റ്‌വർക്കിൽ സംശയാസ്പദമായ കാര്യങ്ങൾ കണ്ടെത്താനാകും. രണ്ടാമത്തേത് സുരക്ഷാ സംഭവങ്ങളാണ്. ഈ ലേഖനം പ്രവർത്തനക്ഷമമാക്കിയ അൽഗോരിതങ്ങളുടെ 4 ഉദാഹരണങ്ങളും ഫീഡുകളുടെ 2 ഉദാഹരണങ്ങളും പരിശോധിക്കും.

1. നെറ്റ്‌വർക്കിനുള്ളിലെ ഏറ്റവും വലിയ ഇടപെടലുകളുടെ വിശകലനം

സ്റ്റെൽത്ത് വാച്ച് സജ്ജീകരിക്കുന്നതിനുള്ള പ്രാരംഭ ഘട്ടം ഹോസ്റ്റുകളെയും നെറ്റ്‌വർക്കുകളെയും ഗ്രൂപ്പുകളായി നിർവചിക്കുക എന്നതാണ്. വെബ് ഇന്റർഫേസ് ടാബിൽ കോൺഫിഗർ ചെയ്യുക > ഹോസ്റ്റ് ഗ്രൂപ്പ് മാനേജ്മെന്റ് നെറ്റ്‌വർക്കുകൾ, ഹോസ്റ്റുകൾ, സെർവറുകൾ എന്നിവ ഉചിതമായ ഗ്രൂപ്പുകളായി തരംതിരിക്കണം. നിങ്ങൾക്ക് സ്വന്തമായി ഗ്രൂപ്പുകൾ സൃഷ്ടിക്കാനും കഴിയും. വഴിയിൽ, Cisco StealthWatch-ലെ ഹോസ്റ്റുകൾ തമ്മിലുള്ള ഇടപെടലുകൾ വിശകലനം ചെയ്യുന്നത് വളരെ സൗകര്യപ്രദമാണ്, കാരണം നിങ്ങൾക്ക് സ്ട്രീം വഴി തിരയൽ ഫിൽട്ടറുകൾ സംരക്ഷിക്കാൻ മാത്രമല്ല, ഫലങ്ങളും സ്വയം സംരക്ഷിക്കാനും കഴിയും.

ആരംഭിക്കുന്നതിന്, വെബ് ഇന്റർഫേസിൽ നിങ്ങൾ ടാബിലേക്ക് പോകണം വിശകലനം > ഫ്ലോ തിരയൽ. തുടർന്ന് നിങ്ങൾ ഇനിപ്പറയുന്ന പാരാമീറ്ററുകൾ സജ്ജമാക്കണം:

• തിരയൽ തരം - പ്രധാന സംഭാഷണങ്ങൾ (ഏറ്റവും ജനപ്രിയമായ ഇടപെടലുകൾ)
• സമയ പരിധി - 24 മണിക്കൂർ (സമയ കാലയളവ്, നിങ്ങൾക്ക് മറ്റൊന്ന് ഉപയോഗിക്കാം)
• തിരയൽ പേര് - അകത്ത്-അകത്ത് മികച്ച സംഭാഷണങ്ങൾ (ഏതെങ്കിലും സൗഹൃദ നാമം)
• വിഷയം - ഹോസ്റ്റ് ഗ്രൂപ്പുകൾ → ഉള്ളിലുള്ള ഹോസ്റ്റുകൾ (ഉറവിടം - ആന്തരിക ഹോസ്റ്റുകളുടെ ഗ്രൂപ്പ്)
• കണക്ഷൻ (നിങ്ങൾക്ക് പോർട്ടുകളും ആപ്ലിക്കേഷനുകളും വ്യക്തമാക്കാൻ കഴിയും)
• പിയർ - ഹോസ്റ്റ് ഗ്രൂപ്പുകൾ → അകത്ത് ഹോസ്റ്റുകൾ (ലക്ഷ്യം - ആന്തരിക നോഡുകളുടെ ഗ്രൂപ്പ്)
• വിപുലമായ ഓപ്‌ഷനുകളിൽ, ഔട്ട്‌പുട്ട് (ബൈറ്റുകൾ, സ്ട്രീമുകൾ മുതലായവ പ്രകാരം) അടുക്കി, ഡാറ്റ കാണുന്ന കളക്ടറെ നിങ്ങൾക്ക് അധികമായി വ്യക്തമാക്കാം. ഞാൻ അത് സ്ഥിരസ്ഥിതിയായി വിടാം.

ബട്ടൺ അമർത്തി ശേഷം തിരയൽ കൈമാറ്റം ചെയ്ത ഡാറ്റയുടെ അളവ് അനുസരിച്ച് ഇതിനകം അടുക്കിയിട്ടുള്ള ഇടപെടലുകളുടെ ഒരു ലിസ്റ്റ് പ്രദർശിപ്പിക്കും.

എന്റെ ഉദാഹരണത്തിൽ ഹോസ്റ്റ് 10.150.1.201 (സെർവർ) ഒരു ത്രെഡിനുള്ളിൽ മാത്രം കൈമാറുന്നു 1.5 GB ഹോസ്റ്റിലേക്കുള്ള ട്രാഫിക് 10.150.1.200 (ക്ലയന്റ്) പ്രോട്ടോക്കോൾ പ്രകാരം ക്യു. ബട്ടൺ നിരകൾ നിയന്ത്രിക്കുക ഔട്ട്പുട്ട് ഡാറ്റയിലേക്ക് കൂടുതൽ കോളങ്ങൾ ചേർക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

അടുത്തതായി, അഡ്‌മിനിസ്‌ട്രേറ്ററുടെ വിവേചനാധികാരത്തിൽ, നിങ്ങൾക്ക് ഒരു ഇഷ്‌ടാനുസൃത നിയമം സൃഷ്‌ടിക്കാൻ കഴിയും, അത് എല്ലായ്‌പ്പോഴും ഇത്തരത്തിലുള്ള ഇടപെടൽ പ്രവർത്തനക്ഷമമാക്കുകയും SNMP, ഇമെയിൽ അല്ലെങ്കിൽ Syslog വഴി നിങ്ങളെ അറിയിക്കുകയും ചെയ്യും.

2. കാലതാമസങ്ങൾക്കായി നെറ്റ്‌വർക്കിനുള്ളിലെ ഏറ്റവും വേഗത കുറഞ്ഞ ക്ലയന്റ്-സെർവർ ഇടപെടലുകളുടെ വിശകലനം

ടാഗുകൾ SRT (സെർവർ പ്രതികരണ സമയം), RTT (റൗണ്ട് ട്രിപ്പ് സമയം) സെർവർ കാലതാമസവും പൊതുവായ നെറ്റ്‌വർക്ക് കാലതാമസവും കണ്ടെത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു. സാവധാനത്തിൽ പ്രവർത്തിക്കുന്ന ആപ്ലിക്കേഷനെക്കുറിച്ചുള്ള ഉപയോക്തൃ പരാതികളുടെ കാരണം നിങ്ങൾ വേഗത്തിൽ കണ്ടെത്തേണ്ടിവരുമ്പോൾ ഈ ഉപകരണം പ്രത്യേകിച്ചും ഉപയോഗപ്രദമാണ്.

അഭിപായപ്പെടുക: മിക്കവാറും എല്ലാ നെറ്റ്ഫ്ലോ കയറ്റുമതിക്കാരും എങ്ങനെയെന്ന് അറിയില്ല SRT, RTT ടാഗുകൾ അയയ്‌ക്കുക, അതിനാൽ പലപ്പോഴും, FlowSensor-ൽ അത്തരം ഡാറ്റ കാണുന്നതിന്, നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്ന് ട്രാഫിക്കിന്റെ ഒരു പകർപ്പ് അയയ്ക്കുന്നത് നിങ്ങൾ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട്. FlowSensor വിപുലീകരിച്ച IPFIX FlowCollector-ലേക്ക് അയയ്ക്കുന്നു.

അഡ്മിനിസ്ട്രേറ്ററുടെ കമ്പ്യൂട്ടറിൽ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുള്ള StealtWatch java ആപ്ലിക്കേഷനിൽ ഈ വിശകലനം നടത്തുന്നത് കൂടുതൽ സൗകര്യപ്രദമാണ്.

വലത് മൗസ് ബട്ടൺ ഓൺ ഹോസ്റ്റുകൾക്കുള്ളിൽ ടാബിലേക്ക് പോകുക ഫ്ലോ ടേബിൾ.

ക്ലിക്ക് ചെയ്യുക അരിപ്പ ആവശ്യമായ പാരാമീറ്ററുകൾ സജ്ജമാക്കുക. ഒരു ഉദാഹരണം എന്ന നിലക്ക്:

• തീയതി/സമയം - കഴിഞ്ഞ 3 ദിവസത്തേക്ക്
• പ്രകടനം — ശരാശരി റൗണ്ട് ട്രിപ്പ് സമയം >=50മി

ഡാറ്റ പ്രദർശിപ്പിച്ച ശേഷം, ഞങ്ങൾക്ക് താൽപ്പര്യമുള്ള RTT, SRT ഫീൽഡുകൾ ചേർക്കണം. ഇത് ചെയ്യുന്നതിന്, സ്ക്രീൻഷോട്ടിലെ കോളത്തിൽ ക്ലിക്ക് ചെയ്ത് വലത് മൗസ് ബട്ടൺ ഉപയോഗിച്ച് തിരഞ്ഞെടുക്കുക നിരകൾ നിയന്ത്രിക്കുക. അടുത്തതായി, RTT, SRT പാരാമീറ്ററുകൾ ക്ലിക്കുചെയ്യുക.

അഭ്യർത്ഥന പ്രോസസ്സ് ചെയ്തതിന് ശേഷം, ഞാൻ RTT ശരാശരി പ്രകാരം അടുക്കി, മന്ദഗതിയിലുള്ള ഇടപെടലുകൾ കണ്ടു.

വിശദമായ വിവരങ്ങളിലേക്ക് പോകാൻ, സ്ട്രീമിൽ റൈറ്റ് ക്ലിക്ക് ചെയ്ത് തിരഞ്ഞെടുക്കുക ഒഴുക്കിനുള്ള ദ്രുത കാഴ്ച.

ഹോസ്റ്റ് എന്നാണ് ഈ വിവരം സൂചിപ്പിക്കുന്നത് 10.201.3.59 ഗ്രൂപ്പിൽ നിന്ന് വിൽപ്പനയും വിപണനവും പ്രോട്ടോക്കോൾ പ്രകാരം NFS അഭ്യർത്ഥിക്കുന്നു DNS സെർവർ ഒരു മിനിറ്റും 23 സെക്കൻഡും, ഭയങ്കര കാലതാമസമുണ്ട്. ടാബിൽ സംയോജകഘടകങ്ങള് ഏത് നെറ്റ്ഫ്ലോ ഡാറ്റ എക്‌സ്‌പോർട്ടറിൽ നിന്നാണ് വിവരങ്ങൾ ലഭിച്ചതെന്ന് നിങ്ങൾക്ക് കണ്ടെത്താനാകും. ടാബിൽ മേശ ആശയവിനിമയത്തെക്കുറിച്ചുള്ള കൂടുതൽ വിശദമായ വിവരങ്ങൾ കാണിക്കുന്നു.

അടുത്തതായി, ഏത് ഉപകരണങ്ങളാണ് FlowSensor-ലേക്ക് ട്രാഫിക് അയയ്‌ക്കുന്നത് എന്ന് നിങ്ങൾ കണ്ടെത്തണം, പ്രശ്‌നം മിക്കവാറും അവിടെയാണ്.

മാത്രമല്ല, സ്റ്റെൽത്ത് വാച്ച് അത് നടത്തുന്നതിൽ സവിശേഷമാണ് ഡ്യൂപ്ലിക്കേഷൻ ഡാറ്റ (ഒരേ സ്ട്രീമുകൾ സംയോജിപ്പിക്കുന്നു). അതിനാൽ, നിങ്ങൾക്ക് മിക്കവാറും എല്ലാ നെറ്റ്ഫ്ലോ ഉപകരണങ്ങളിൽ നിന്നും ശേഖരിക്കാൻ കഴിയും കൂടാതെ ധാരാളം ഡ്യൂപ്ലിക്കേറ്റ് ഡാറ്റ ഉണ്ടാകുമെന്ന് ഭയപ്പെടേണ്ടതില്ല. നേരെമറിച്ച്, ഈ സ്കീമിൽ ഏത് ഹോപ്പിനാണ് ഏറ്റവും കൂടുതൽ കാലതാമസം ഉള്ളതെന്ന് മനസിലാക്കാൻ ഇത് സഹായിക്കും.

3. HTTPS ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രോട്ടോക്കോളുകളുടെ ഓഡിറ്റ്

ETA (എൻക്രിപ്റ്റഡ് ട്രാഫിക് അനലിറ്റിക്സ്) ഡീക്രിപ്റ്റ് ചെയ്യാതെ തന്നെ എൻക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക്കിലെ ക്ഷുദ്ര കണക്ഷനുകൾ കണ്ടെത്താൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു സാങ്കേതികവിദ്യയാണ് സിസ്കോ വികസിപ്പിച്ചെടുത്തത്. കൂടാതെ, കണക്ഷനുകൾക്കിടയിൽ ഉപയോഗിക്കുന്ന TLS പതിപ്പുകളിലേക്കും ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രോട്ടോക്കോളുകളിലേക്കും HTTPS "പാഴ്‌സ്" ചെയ്യാൻ ഈ സാങ്കേതികവിദ്യ നിങ്ങളെ അനുവദിക്കുന്നു. ദുർബലമായ ക്രിപ്‌റ്റോ മാനദണ്ഡങ്ങൾ ഉപയോഗിക്കുന്ന നെറ്റ്‌വർക്ക് നോഡുകൾ കണ്ടെത്തേണ്ടിവരുമ്പോൾ ഈ പ്രവർത്തനം പ്രത്യേകിച്ചും ഉപയോഗപ്രദമാണ്.

അഭിപായപ്പെടുക: നിങ്ങൾ ആദ്യം StealthWatch-ൽ നെറ്റ്‌വർക്ക് ആപ്പ് ഇൻസ്റ്റാൾ ചെയ്യണം - ETA ക്രിപ്‌റ്റോഗ്രാഫിക് ഓഡിറ്റ്.

ടാബിലേക്ക് പോകുക ഡാഷ്‌ബോർഡുകൾ → ETA ക്രിപ്‌റ്റോഗ്രാഫിക് ഓഡിറ്റ് ഞങ്ങൾ വിശകലനം ചെയ്യാൻ ഉദ്ദേശിക്കുന്ന ഹോസ്റ്റുകളുടെ ഗ്രൂപ്പ് തിരഞ്ഞെടുക്കുക. മൊത്തത്തിലുള്ള ചിത്രത്തിനായി, നമുക്ക് തിരഞ്ഞെടുക്കാം ഹോസ്റ്റുകൾക്കുള്ളിൽ.

TLS പതിപ്പും അനുബന്ധ ക്രിപ്റ്റോ സ്റ്റാൻഡേർഡും ഔട്ട്പുട്ടാണെന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയും. നിരയിലെ സാധാരണ സ്കീം അനുസരിച്ച് പ്രവർത്തനങ്ങൾ പോകുക ഫ്ലോകൾ കാണുക ഒരു പുതിയ ടാബിൽ തിരയൽ ആരംഭിക്കുന്നു.

ഔട്ട്പുട്ടിൽ നിന്ന് അത് ഹോസ്റ്റ് ആണെന്ന് കാണാൻ കഴിയും 198.19.20.136 ഉടനീളം എൺപത് മണിക്കൂർ TLS 1.2 ഉപയോഗിച്ച് HTTPS ഉപയോഗിച്ചു, അവിടെ എൻക്രിപ്ഷൻ അൽഗോരിതം AES-256 ഒപ്പം ഹാഷ് ഫംഗ്‌ഷനും SHA-384. അങ്ങനെ, നെറ്റ്‌വർക്കിൽ ദുർബലമായ അൽഗോരിതങ്ങൾ കണ്ടെത്താൻ ETA നിങ്ങളെ അനുവദിക്കുന്നു.

4. നെറ്റ്‌വർക്ക് അനോമലി വിശകലനം

Cisco StealthWatch-ന് മൂന്ന് ടൂളുകൾ ഉപയോഗിച്ച് നെറ്റ്‌വർക്കിലെ ട്രാഫിക് അപാകതകൾ തിരിച്ചറിയാൻ കഴിയും: പ്രധാന ഇവന്റുകൾ (സുരക്ഷാ ഇവന്റുകൾ), റിലേഷൻഷിപ്പ് ഇവന്റുകൾ (സെഗ്‌മെന്റുകൾ, നെറ്റ്‌വർക്ക് നോഡുകൾ തമ്മിലുള്ള ഇടപെടലുകളുടെ ഇവന്റുകൾ) കൂടാതെ പെരുമാറ്റ വിശകലനം.

ബിഹേവിയറൽ അനാലിസിസ്, അതാകട്ടെ, ഒരു പ്രത്യേക ഹോസ്റ്റ് അല്ലെങ്കിൽ ആതിഥേയരുടെ ഗ്രൂപ്പിനായി ഒരു പെരുമാറ്റ മാതൃക നിർമ്മിക്കാൻ കാലക്രമേണ അനുവദിക്കുന്നു. StealthWatch വഴി കൂടുതൽ ട്രാഫിക് കടന്നുപോകുന്നു, ഈ വിശകലനത്തിന് കൂടുതൽ കൃത്യമായ അലേർട്ടുകൾ ലഭിക്കും. ആദ്യം, സിസ്റ്റം വളരെ തെറ്റായി ട്രിഗർ ചെയ്യുന്നു, അതിനാൽ നിയമങ്ങൾ കൈകൊണ്ട് "വളച്ചൊടിക്കുന്നു". ആദ്യ കുറച്ച് ആഴ്ചകളിൽ ഇത്തരം ഇവന്റുകൾ അവഗണിക്കാൻ ഞാൻ ശുപാർശ ചെയ്യുന്നു, കാരണം സിസ്റ്റം സ്വയം ക്രമീകരിക്കും, അല്ലെങ്കിൽ അവ ഒഴിവാക്കലുകളിലേക്ക് ചേർക്കുക.

മുൻകൂട്ടി നിശ്ചയിച്ച നിയമത്തിന്റെ ഒരു ഉദാഹരണം ചുവടെയുണ്ട് അപാകത, ഒരു അലാറം ഇല്ലാതെ ഇവന്റ് വെടിവയ്ക്കുമെന്ന് പ്രസ്താവിക്കുന്നു ഇൻസൈഡ് ഹോസ്റ്റ്സ് ഗ്രൂപ്പിലെ ഒരു ഹോസ്റ്റ് ഇൻസൈഡ് ഹോസ്റ്റ് ഗ്രൂപ്പുമായി സംവദിക്കുന്നു, 24 മണിക്കൂറിനുള്ളിൽ ട്രാഫിക് 10 മെഗാബൈറ്റ് കവിയും.

ഉദാഹരണത്തിന്, നമുക്ക് ഒരു അലാറം എടുക്കാം ഡാറ്റ ഹോർഡിംഗ്, അതായത് ചില ഉറവിടങ്ങൾ/ലക്ഷ്യസ്ഥാന ഹോസ്റ്റുകൾ ഒരു കൂട്ടം ഹോസ്റ്റുകളിൽ നിന്നോ ഒരു ഹോസ്റ്റിൽ നിന്നോ അസാധാരണമാംവിധം വലിയ അളവിലുള്ള ഡാറ്റ അപ്‌ലോഡ്/ഡൗൺലോഡ് ചെയ്തു എന്നാണ്. ഇവന്റിൽ ക്ലിക്ക് ചെയ്ത് ട്രിഗറിംഗ് ഹോസ്റ്റുകൾ സൂചിപ്പിച്ചിരിക്കുന്ന പട്ടികയിലേക്ക് പോകുക. അടുത്തതായി, കോളത്തിൽ ഞങ്ങൾക്ക് താൽപ്പര്യമുള്ള ഹോസ്റ്റ് തിരഞ്ഞെടുക്കുക ഡാറ്റ ഹോർഡിംഗ്.

162k “പോയിന്റുകൾ” കണ്ടെത്തിയതായി സൂചിപ്പിക്കുന്ന ഒരു ഇവന്റ് പ്രദർശിപ്പിക്കുന്നു, നയമനുസരിച്ച്, 100k “പോയിന്റുകൾ” അനുവദനീയമാണ് - ഇവ ആന്തരിക StealthWatch മെട്രിക്കുകളാണ്. ഒരു കോളത്തിൽ പ്രവർത്തനങ്ങൾ എ ഫ്ലോകൾ കാണുക.

അത് നമുക്ക് നിരീക്ഷിക്കാം നൽകിയ ഹോസ്റ്റ് രാത്രി ഹോസ്റ്റുമായി ആശയവിനിമയം നടത്തി 10.201.3.47 വകുപ്പിൽ നിന്ന് വിൽപ്പനയും വിപണനവും പ്രോട്ടോക്കോൾ പ്രകാരം എച്ച്ടിടിപിഎസ് ഡൗൺലോഡ് ചെയ്യുകയും ചെയ്തു 1.4 GB. ഒരുപക്ഷേ ഈ ഉദാഹരണം പൂർണ്ണമായും വിജയിച്ചേക്കില്ല, പക്ഷേ നൂറുകണക്കിന് ജിഗാബൈറ്റുകൾക്ക് പോലും ഇടപെടലുകൾ കണ്ടെത്തുന്നത് അതേ രീതിയിലാണ് നടത്തുന്നത്. അതിനാൽ, അപാകതകളെക്കുറിച്ചുള്ള കൂടുതൽ അന്വേഷണം രസകരമായ ഫലങ്ങളിലേക്ക് നയിച്ചേക്കാം.

അഭിപായപ്പെടുക: SMC വെബ് ഇന്റർഫേസിൽ, ഡാറ്റ ടാബുകളിൽ ഉണ്ട് ഡാഷ്ബോർഡുകൾ കഴിഞ്ഞ ആഴ്‌ചയിലും ടാബിലും മാത്രം പ്രദർശിപ്പിക്കും നിരന്തരം നിരീക്ഷിക്കുക കഴിഞ്ഞ 2 ആഴ്ചകളിൽ. പഴയ ഇവന്റുകൾ വിശകലനം ചെയ്യുന്നതിനും റിപ്പോർട്ടുകൾ സൃഷ്ടിക്കുന്നതിനും, നിങ്ങൾ അഡ്മിനിസ്ട്രേറ്ററുടെ കമ്പ്യൂട്ടറിലെ ജാവ കൺസോളുമായി പ്രവർത്തിക്കേണ്ടതുണ്ട്.

5. ആന്തരിക നെറ്റ്‌വർക്ക് സ്കാനുകൾ കണ്ടെത്തുന്നു

ഇപ്പോൾ ഫീഡുകളുടെ ഏതാനും ഉദാഹരണങ്ങൾ നോക്കാം - വിവര സുരക്ഷാ സംഭവങ്ങൾ. ഈ പ്രവർത്തനം സുരക്ഷാ പ്രൊഫഷണലുകൾക്ക് കൂടുതൽ താൽപ്പര്യമുള്ളതാണ്.

സ്റ്റെൽത്ത് വാച്ചിൽ നിരവധി പ്രീസെറ്റ് സ്കാൻ ഇവന്റ് തരങ്ങളുണ്ട്:

• പോർട്ട് സ്കാൻ - ഉറവിടം ഡെസ്റ്റിനേഷൻ ഹോസ്റ്റിലെ ഒന്നിലധികം പോർട്ടുകൾ സ്കാൻ ചെയ്യുന്നു.
• Addr tcp സ്കാൻ - ഉറവിടം ഒരേ TCP പോർട്ടിൽ മുഴുവൻ നെറ്റ്‌വർക്കും സ്കാൻ ചെയ്യുന്നു, ലക്ഷ്യസ്ഥാന ഐപി വിലാസം മാറ്റുന്നു. ഈ സാഹചര്യത്തിൽ, ഉറവിടത്തിന് TCP റീസെറ്റ് പാക്കറ്റുകൾ ലഭിക്കുന്നു അല്ലെങ്കിൽ പ്രതികരണങ്ങൾ ലഭിക്കുന്നില്ല.
• Addr udp സ്കാൻ - ലക്ഷ്യസ്ഥാന ഐപി വിലാസം മാറ്റുമ്പോൾ, ഉറവിടം മുഴുവൻ നെറ്റ്‌വർക്കും ഒരേ യുഡിപി പോർട്ടിൽ സ്കാൻ ചെയ്യുന്നു. ഈ സാഹചര്യത്തിൽ, ഉറവിടത്തിന് ICMP പോർട്ട് അൺറീച്ചബിൾ പാക്കറ്റുകൾ ലഭിക്കുന്നു അല്ലെങ്കിൽ പ്രതികരണങ്ങൾ ലഭിക്കുന്നില്ല.
• പിംഗ് സ്കാൻ - ഉത്തരങ്ങൾക്കായി തിരയുന്നതിനായി ഉറവിടം മുഴുവൻ നെറ്റ്‌വർക്കിലേക്കും ICMP അഭ്യർത്ഥനകൾ അയയ്ക്കുന്നു.
• സ്റ്റെൽത്ത് സ്കാൻ tсp/udp - ഒരേ സമയം ഡെസ്റ്റിനേഷൻ നോഡിലെ ഒന്നിലധികം പോർട്ടുകളിലേക്ക് കണക്റ്റുചെയ്യുന്നതിന് ഉറവിടം ഒരേ പോർട്ട് ഉപയോഗിച്ചു.

എല്ലാ ആന്തരിക സ്കാനറുകളും ഒരേസമയം കണ്ടെത്തുന്നത് കൂടുതൽ സൗകര്യപ്രദമാക്കുന്നതിന്, ഇതിനായി ഒരു നെറ്റ്‌വർക്ക് ആപ്പ് ഉണ്ട് സ്റ്റെൽത്ത് വാച്ച് - ദൃശ്യപരത വിലയിരുത്തൽ. ടാബിലേക്ക് പോകുന്നു ഡാഷ്‌ബോർഡുകൾ → ദൃശ്യപരത വിലയിരുത്തൽ → ആന്തരിക നെറ്റ്‌വർക്ക് സ്കാനറുകൾ കഴിഞ്ഞ 2 ആഴ്‌ചയായി സ്കാനിംഗുമായി ബന്ധപ്പെട്ട സുരക്ഷാ സംഭവങ്ങൾ നിങ്ങൾ കാണും.

ബട്ടൺ ക്ലിക്ക് ചെയ്യുന്നു വിവരങ്ങൾ, ഓരോ നെറ്റ്‌വർക്കിന്റെയും സ്കാനിംഗ് ആരംഭം, ട്രാഫിക് ട്രെൻഡ്, അനുബന്ധ അലാറങ്ങൾ എന്നിവ നിങ്ങൾ കാണും.

അടുത്തതായി, മുമ്പത്തെ സ്‌ക്രീൻഷോട്ടിലെ ടാബിൽ നിന്ന് നിങ്ങൾക്ക് ഹോസ്റ്റിലേക്ക് "പരാജയപ്പെടാം" കൂടാതെ ഈ ഹോസ്റ്റിന്റെ കഴിഞ്ഞ ആഴ്‌ചയിലെ പ്രവർത്തനങ്ങളും സുരക്ഷാ ഇവന്റുകളും കാണാനാകും.

ഉദാഹരണമായി, നമുക്ക് ഇവന്റ് വിശകലനം ചെയ്യാം പോർട്ട് സ്കാൻ ഹോസ്റ്റിൽ നിന്ന് 10.201.3.149 ഓൺ 10.201.0.72, അമർത്തിയാൽ പ്രവർത്തനങ്ങൾ > അനുബന്ധ ഫ്ലോകൾ. ഒരു ത്രെഡ് തിരയൽ സമാരംഭിക്കുകയും പ്രസക്തമായ വിവരങ്ങൾ പ്രദർശിപ്പിക്കുകയും ചെയ്യുന്നു.

ഈ ഹോസ്റ്റിനെ അതിന്റെ ഒരു പോർട്ടിൽ നിന്ന് ഞങ്ങൾ എങ്ങനെ കാണുന്നു 51508/TCP പോർട്ട് വഴി ഡെസ്റ്റിനേഷൻ ഹോസ്റ്റ് 3 മണിക്കൂർ മുമ്പ് സ്കാൻ ചെയ്തു 22, 28, 42, 41, 36, 40 (TCP). നെറ്റ്ഫ്ലോ എക്സ്പോർട്ടറിൽ എല്ലാ നെറ്റ്ഫ്ലോ ഫീൽഡുകളും പിന്തുണയ്ക്കാത്തതിനാൽ ചില ഫീൽഡുകൾ വിവരങ്ങൾ പ്രദർശിപ്പിക്കില്ല.

6. CTA ഉപയോഗിച്ച് ഡൗൺലോഡ് ചെയ്ത മാൽവെയറിന്റെ വിശകലനം

CTA (കോഗ്നിറ്റീവ് ത്രെറ്റ് അനലിറ്റിക്സ്) — സിസ്‌കോ ക്ലൗഡ് അനലിറ്റിക്‌സ്, ഇത് സിസ്‌കോ സ്റ്റെൽത്ത് വാച്ചുമായി സമന്വയിപ്പിക്കുകയും സിഗ്‌നേച്ചർ അനാലിസിസ് ഉപയോഗിച്ച് സിഗ്‌നേച്ചർ രഹിത വിശകലനം പൂർത്തിയാക്കാൻ നിങ്ങളെ അനുവദിക്കുകയും ചെയ്യുന്നു. ട്രോജനുകൾ, നെറ്റ്‌വർക്ക് വേമുകൾ, സീറോ-ഡേ മാൽവെയറുകൾ, മറ്റ് ക്ഷുദ്രവെയർ എന്നിവ കണ്ടെത്താനും അവ നെറ്റ്‌വർക്കിനുള്ളിൽ വിതരണം ചെയ്യാനും ഇത് സാധ്യമാക്കുന്നു. കൂടാതെ, മുമ്പ് സൂചിപ്പിച്ച ETA സാങ്കേതികവിദ്യ എൻക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക്കിൽ അത്തരം ക്ഷുദ്ര ആശയവിനിമയങ്ങൾ വിശകലനം ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു.

അക്ഷരാർത്ഥത്തിൽ വെബ് ഇന്റർഫേസിലെ ആദ്യ ടാബിൽ ഒരു പ്രത്യേക വിജറ്റ് ഉണ്ട് കോഗ്നിറ്റീവ് ത്രെറ്റ് അനലിറ്റിക്സ്. ഉപയോക്തൃ ഹോസ്റ്റുകളിൽ കണ്ടെത്തിയ ഭീഷണികളെ ഒരു ഹ്രസ്വ സംഗ്രഹം സൂചിപ്പിക്കുന്നു: ട്രോജൻ, വഞ്ചനാപരമായ സോഫ്റ്റ്‌വെയർ, ശല്യപ്പെടുത്തുന്ന ആഡ്‌വെയർ. "എൻക്രിപ്റ്റഡ്" എന്ന വാക്ക് യഥാർത്ഥത്തിൽ ETA യുടെ പ്രവർത്തനത്തെ സൂചിപ്പിക്കുന്നു. ഒരു ഹോസ്റ്റിൽ ക്ലിക്കുചെയ്യുന്നതിലൂടെ, അതിനെക്കുറിച്ചുള്ള എല്ലാ വിവരങ്ങളും, CTA ലോഗുകൾ ഉൾപ്പെടെയുള്ള സുരക്ഷാ ഇവന്റുകൾ ദൃശ്യമാകും.

CTA യുടെ ഓരോ ഘട്ടത്തിലും ഹോവർ ചെയ്യുന്നതിലൂടെ, ഇവന്റ് ആശയവിനിമയത്തെക്കുറിച്ചുള്ള വിശദമായ വിവരങ്ങൾ പ്രദർശിപ്പിക്കുന്നു. പൂർണ്ണമായ വിശകലനത്തിനായി, ഇവിടെ ക്ലിക്ക് ചെയ്യുക സംഭവത്തിന്റെ വിശദാംശങ്ങൾ കാണുക, നിങ്ങളെ ഒരു പ്രത്യേക കൺസോളിലേക്ക് കൊണ്ടുപോകും കോഗ്നിറ്റീവ് ത്രെറ്റ് അനലിറ്റിക്സ്.

മുകളിൽ വലത് കോണിൽ, തീവ്രത അനുസരിച്ച് ഇവന്റുകൾ പ്രദർശിപ്പിക്കാൻ ഒരു ഫിൽട്ടർ നിങ്ങളെ അനുവദിക്കുന്നു. നിങ്ങൾ ഒരു നിർദ്ദിഷ്‌ട അപാകതയിലേക്ക് വിരൽ ചൂണ്ടുമ്പോൾ, വലതുവശത്ത് അനുബന്ധ ടൈംലൈനോടുകൂടിയ ലോഗുകൾ സ്ക്രീനിന്റെ താഴെ ദൃശ്യമാകും. അങ്ങനെ, ഇൻഫർമേഷൻ സെക്യൂരിറ്റി സ്പെഷ്യലിസ്റ്റ് ഏത് രോഗബാധിതരായ ഹോസ്റ്റാണ്, ഏത് പ്രവർത്തനങ്ങൾക്ക് ശേഷം, ഏത് പ്രവർത്തനങ്ങൾ ചെയ്യാൻ തുടങ്ങി എന്ന് വ്യക്തമായി മനസ്സിലാക്കുന്നു.

മറ്റൊരു ഉദാഹരണം ചുവടെയുണ്ട് - ഹോസ്റ്റിനെ ബാധിച്ച ഒരു ബാങ്കിംഗ് ട്രോജൻ 198.19.30.36. ഈ ഹോസ്റ്റ് ക്ഷുദ്ര ഡൊമെയ്‌നുകളുമായി സംവദിക്കാൻ തുടങ്ങി, ഈ ഇടപെടലുകളുടെ ഒഴുക്കിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ ലോഗുകൾ കാണിക്കുന്നു.

അടുത്തതായി, ആതിഥേയനെ ക്വാറന്റൈൻ ചെയ്യുക എന്നതാണ് ഏറ്റവും മികച്ച പരിഹാരങ്ങളിലൊന്ന് സംയോജനം കൂടുതൽ ചികിത്സയ്ക്കും വിശകലനത്തിനുമായി സിസ്കോ ഐഎസ്ഇയുമായി.

തീരുമാനം

Cisco StealthWatch സൊല്യൂഷൻ നെറ്റ്‌വർക്ക് വിശകലനത്തിന്റെയും വിവര സുരക്ഷയുടെയും കാര്യത്തിൽ നെറ്റ്‌വർക്ക് മോണിറ്ററിംഗ് ഉൽപ്പന്നങ്ങളിൽ നേതാക്കളിൽ ഒരാളാണ്. ഇതിന് നന്ദി, നിങ്ങൾക്ക് നെറ്റ്‌വർക്കിനുള്ളിലെ നിയമവിരുദ്ധമായ ഇടപെടലുകൾ, ആപ്ലിക്കേഷൻ കാലതാമസം, ഏറ്റവും സജീവമായ ഉപയോക്താക്കൾ, അപാകതകൾ, ക്ഷുദ്രവെയർ, APT-കൾ എന്നിവ കണ്ടെത്താനാകും. കൂടാതെ, നിങ്ങൾക്ക് സ്കാനറുകളും പെന്റസ്റ്ററുകളും കണ്ടെത്താനും HTTPS ട്രാഫിക്കിന്റെ ക്രിപ്റ്റോ-ഓഡിറ്റ് നടത്താനും കഴിയും. നിങ്ങൾക്ക് കൂടുതൽ ഉപയോഗ കേസുകൾ ഇവിടെ കണ്ടെത്താനാകും ലിങ്ക്.

നിങ്ങളുടെ നെറ്റ്‌വർക്കിൽ എല്ലാം എത്ര സുഗമമായും കാര്യക്ഷമമായും പ്രവർത്തിക്കുന്നുവെന്ന് പരിശോധിക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, അയയ്ക്കുക ബിഡ്.
സമീപഭാവിയിൽ, വിവിധ വിവര സുരക്ഷാ ഉൽപന്നങ്ങളിൽ കൂടുതൽ സാങ്കേതിക പ്രസിദ്ധീകരണങ്ങൾ ഞങ്ങൾ ആസൂത്രണം ചെയ്യുന്നു. നിങ്ങൾക്ക് ഈ വിഷയത്തിൽ താൽപ്പര്യമുണ്ടെങ്കിൽ, ഞങ്ങളുടെ ചാനലുകളിലെ അപ്‌ഡേറ്റുകൾ പിന്തുടരുക (കന്വിസന്ദേശം, ഫേസ്ബുക്ക്, VK, TS സൊല്യൂഷൻ ബ്ലോഗ്)!

അവലംബം: www.habr.com