एन्क्रिप्टेड ट्रॅफिकचे डिक्रिप्ट न करता त्याचे विश्लेषण

ट्रॅफिक डिक्रिप्ट न करता त्याचे विश्लेषण करणारी प्रणाली. या पद्धतीला फक्त "मशीन लर्निंग" असे म्हणतात. असे दिसून आले की जर एखाद्या विशेष क्लासिफायरच्या इनपुटवर विविध रहदारीचा खूप मोठा खंड दिला गेला असेल तर, सिस्टम कूटबद्ध ट्रॅफिकमधील दुर्भावनापूर्ण कोडच्या क्रियांचा उच्च संभाव्यतेसह शोधू शकते.

ऑनलाइन धमक्या बदलल्या आहेत आणि स्मार्ट बनल्या आहेत. अलीकडे, आक्रमण आणि संरक्षणाची संकल्पना बदलली आहे. नेटवर्कवरील कार्यक्रमांची संख्या लक्षणीय वाढली आहे. हल्ले अधिक अत्याधुनिक झाले आहेत आणि हॅकर्सचा आवाका अधिक आहे.

सिस्कोच्या आकडेवारीनुसार, गेल्या वर्षभरात, आक्रमणकर्त्यांनी त्यांच्या क्रियाकलापांसाठी वापरलेल्या मालवेअरच्या संख्येत तिप्पट वाढ झाली आहे, किंवा त्याऐवजी, ते लपवण्यासाठी एन्क्रिप्शन. हे सिद्धांतावरून ज्ञात आहे की "योग्य" एन्क्रिप्शन अल्गोरिदम खंडित केले जाऊ शकत नाही. एनक्रिप्टेड ट्रॅफिकमध्ये काय लपलेले आहे हे समजून घेण्यासाठी, एकतर की जाणून घेऊन ते डिक्रिप्ट करणे आवश्यक आहे, किंवा विविध युक्त्या वापरून ते डिक्रिप्ट करण्याचा प्रयत्न करणे, किंवा थेट हॅकिंग करणे किंवा क्रिप्टोग्राफिक प्रोटोकॉलमध्ये काही प्रकारच्या भेद्यता वापरणे आवश्यक आहे.

आमच्या काळातील नेटवर्क धोक्यांचे चित्र

मशीन लर्निंग

वैयक्तिकरित्या तंत्रज्ञान जाणून घ्या! मशीन लर्निंग-आधारित डिक्रिप्शन तंत्रज्ञान स्वतः कसे कार्य करते याबद्दल बोलण्यापूर्वी, न्यूरल नेटवर्क तंत्रज्ञान कसे कार्य करते हे समजून घेणे आवश्यक आहे.

मशीन लर्निंग हा कृत्रिम बुद्धिमत्तेचा एक विस्तृत उपविभाग आहे जो शिकू शकणाऱ्या अल्गोरिदम तयार करण्याच्या पद्धतींचा अभ्यास करतो. या विज्ञानाचा उद्देश संगणकाला "प्रशिक्षण" देण्यासाठी गणितीय मॉडेल तयार करणे आहे. शिकण्याचा उद्देश म्हणजे एखाद्या गोष्टीचा अंदाज लावणे. मानवी समजानुसार, आपण या प्रक्रियेला शब्द म्हणतो "शहाणपण". बर्याच काळापासून जगलेल्या लोकांमध्ये बुद्धी प्रकट होते (एक 2 वर्षांचे मूल शहाणे असू शकत नाही). सल्ल्यासाठी वरिष्ठ कॉम्रेड्सकडे वळताना, आम्ही त्यांना कार्यक्रमाबद्दल काही माहिती (इनपुट डेटा) देतो आणि त्यांना मदतीसाठी विचारतो. ते, या बदल्यात, जीवनातील सर्व परिस्थिती लक्षात ठेवतात ज्या कोणत्या तरी तुमच्या समस्येशी संबंधित आहेत (ज्ञान आधार) आणि या ज्ञानाच्या (डेटा) आधारावर, आम्हाला एक प्रकारचा अंदाज (सल्ला) देतात. या प्रकारच्या सल्ल्याला भविष्यवाणी म्हटले जाऊ लागले कारण सल्ला देणाऱ्या व्यक्तीला काय होईल हे निश्चितपणे माहित नसते, परंतु केवळ गृहीत धरते. जीवन अनुभव दर्शविते की एखादी व्यक्ती बरोबर असू शकते किंवा ती चुकीची असू शकते.

तुम्ही ब्रँचिंग अल्गोरिदम (जर-तर) शी न्यूरल नेटवर्कची तुलना करू नये. या भिन्न गोष्टी आहेत आणि मुख्य फरक आहेत. ब्रँचिंग अल्गोरिदममध्ये काय करावे याचे स्पष्ट "समज" आहे. मी उदाहरणांसह दाखवून देईन.

कार्य. कारच्या मेक आणि उत्पादनाच्या वर्षाच्या आधारावर त्याचे ब्रेकिंग अंतर निश्चित करा.

ब्रँचिंग अल्गोरिदमचे उदाहरण. जर एखादी कार ब्रँड 1 असेल आणि ती 2012 मध्ये रिलीज झाली असेल, तर तिचे ब्रेकिंग अंतर 10 मीटर आहे, अन्यथा, जर कार ब्रँड 2 असेल आणि 2011 मध्ये रिलीज झाली असेल, आणि असेच.

न्यूरल नेटवर्कचे उदाहरण. आम्ही मागील 20 वर्षांतील कार ब्रेकिंग अंतरावरील डेटा संकलित करतो. मेक आणि वर्षानुसार, आम्ही "उत्पादन-ब्रेकिंग अंतराचे मेक-इयर" फॉर्मचे सारणी संकलित करतो. आम्ही हे टेबल न्यूरल नेटवर्कला जारी करतो आणि ते शिकवण्यास सुरुवात करतो. प्रशिक्षण खालीलप्रमाणे चालते: आम्ही न्यूरल नेटवर्कवर डेटा फीड करतो, परंतु ब्रेकिंग मार्गाशिवाय. न्यूरॉन त्यामध्ये लोड केलेल्या टेबलच्या आधारे ब्रेकिंगचे अंतर किती असेल याचा अंदाज लावण्याचा प्रयत्न करतो. काहीतरी अंदाज लावतो आणि वापरकर्त्याला विचारतो "मी बरोबर आहे का?" प्रश्नापूर्वी, ती चौथा स्तंभ, अंदाज स्तंभ तयार करते. जर ती बरोबर असेल, तर ती चौथ्या रकान्यात 1 लिहिते; जर ती चुकीची असेल, तर ती 0 लिहिते. न्यूरल नेटवर्क पुढील इव्हेंटकडे जाते (जरी चूक झाली असेल). नेटवर्क अशा प्रकारे शिकते आणि प्रशिक्षण पूर्ण झाल्यावर (एक विशिष्ट अभिसरण निकष गाठला गेला आहे), आम्ही आम्हाला स्वारस्य असलेल्या कारबद्दल डेटा सबमिट करतो आणि शेवटी उत्तर मिळते.

अभिसरण निकषाबद्दलचा प्रश्न काढून टाकण्यासाठी, मी हे स्पष्ट करेन की हे सांख्यिकींसाठी गणितीयरित्या व्युत्पन्न केलेले सूत्र आहे. दोन भिन्न अभिसरण सूत्रांचे एक उल्लेखनीय उदाहरण. लाल - बायनरी अभिसरण, निळा - सामान्य अभिसरण.

द्विपदी आणि सामान्य संभाव्यता वितरण

हे स्पष्ट करण्यासाठी, प्रश्न विचारा "डायनासॉरला भेटण्याची शक्यता काय आहे?" येथे 2 संभाव्य उत्तरे आहेत. पर्याय 1 - खूप लहान (निळा आलेख). पर्याय 2 - एकतर मीटिंग किंवा नाही (लाल आलेख).

अर्थात, संगणक ही व्यक्ती नसून तो वेगळ्या पद्धतीने शिकतो. लोखंडी घोडा प्रशिक्षणाचे 2 प्रकार आहेत: केस-आधारित शिक्षण и व्युत्पन्न शिक्षण.

उदाहरणाद्वारे शिकवणे हा गणिताचे नियम वापरून शिकवण्याचा एक मार्ग आहे. गणितज्ञ सांख्यिकी तक्ते गोळा करतात, निष्कर्ष काढतात आणि परिणाम न्यूरल नेटवर्कमध्ये लोड करतात - गणनासाठी एक सूत्र.

डिडक्टिव लर्निंग - शिक्षण संपूर्णपणे न्यूरॉनमध्ये होते (डेटा संकलनापासून त्याच्या विश्लेषणापर्यंत). येथे एक सारणी सूत्राशिवाय तयार केली जाते, परंतु आकडेवारीसह.

तंत्रज्ञानाचे विस्तृत विहंगावलोकन आणखी दोन डझन लेख घेईल. आत्तासाठी, आमच्या सामान्य समजासाठी हे पुरेसे असेल.

न्यूरोप्लास्टिकिटी

जीवशास्त्रात अशी संकल्पना आहे - न्यूरोप्लास्टिकिटी. न्यूरोप्लास्टिकिटी म्हणजे न्यूरॉन्स (मेंदूच्या पेशी) ची "परिस्थितीनुसार" कार्य करण्याची क्षमता. उदाहरणार्थ, दृष्टी गमावलेली व्यक्ती आवाज, वास आणि वस्तू चांगल्या प्रकारे ऐकते. दृष्टीसाठी जबाबदार मेंदूचा भाग (न्यूरॉन्सचा भाग) त्याचे कार्य इतर कार्यक्षमतेमध्ये पुनर्वितरण करतो या वस्तुस्थितीमुळे हे घडते.

ब्रेनपोर्ट लॉलीपॉप हे जीवनातील न्यूरोप्लास्टिकिटीचे एक उल्लेखनीय उदाहरण आहे.

2009 मध्ये, मॅडिसन येथील विस्कॉन्सिन युनिव्हर्सिटीने "भाषा प्रदर्शन" च्या कल्पना विकसित केलेल्या नवीन उपकरणाच्या प्रकाशनाची घोषणा केली - त्याला ब्रेनपोर्ट म्हणतात. ब्रेनपोर्ट खालील अल्गोरिदमनुसार कार्य करते: व्हिडिओ सिग्नल कॅमेरामधून प्रोसेसरकडे पाठविला जातो, जो झूम, ब्राइटनेस आणि इतर चित्र पॅरामीटर्स नियंत्रित करतो. हे डिजिटल सिग्नलला विद्युत आवेगांमध्ये रूपांतरित करते, मूलत: डोळयातील पडद्याची कार्ये घेते.

चष्मा आणि कॅमेरासह ब्रेनपोर्ट लॉलीपॉप

कामावर ब्रेनपोर्ट

संगणकाबरोबरच. जर तंत्रिका नेटवर्कला प्रक्रियेत बदल जाणवला, तर ते त्याच्याशी जुळवून घेते. इतर अल्गोरिदमच्या तुलनेत न्यूरल नेटवर्कचा हा मुख्य फायदा आहे - स्वायत्तता. एक प्रकारची माणुसकी.

एनक्रिप्टेड रहदारी विश्लेषण

एनक्रिप्टेड ट्रॅफिक ॲनालिटिक्स हे स्टेल्थवॉच प्रणालीचा भाग आहे. स्टेल्थवॉच ही सिस्कोची सुरक्षा मॉनिटरिंग आणि ॲनालिटिक्स सोल्यूशन्समध्ये प्रवेश आहे जी विद्यमान नेटवर्क इन्फ्रास्ट्रक्चरमधून एंटरप्राइझ टेलिमेट्री डेटाचा लाभ घेते.

स्टेल्थवॉच एंटरप्राइझ फ्लो रेट लायसन्स, फ्लो कलेक्टर, मॅनेजमेंट कन्सोल आणि फ्लो सेन्सर टूल्सवर आधारित आहे.

सिस्को स्टेल्थवॉच इंटरफेस

जास्त रहदारी कूटबद्ध होऊ लागल्याने एन्क्रिप्शनची समस्या खूप तीव्र झाली. पूर्वी, फक्त कोड एनक्रिप्ट केलेला होता (बहुतेक), परंतु आता सर्व रहदारी एनक्रिप्टेड आहे आणि व्हायरसपासून "स्वच्छ" डेटा वेगळे करणे अधिक कठीण झाले आहे. WannaCry हे एक उल्लेखनीय उदाहरण आहे, ज्याने त्याची ऑनलाइन उपस्थिती लपविण्यासाठी टोरचा वापर केला.

नेटवर्कवरील रहदारी एन्क्रिप्शनमधील वाढीचे व्हिज्युअलायझेशन

मॅक्रो इकॉनॉमिक्समध्ये एन्क्रिप्शन

एन्क्रिप्टेड ट्रॅफिक ॲनालिटिक्स (ईटीए) सिस्टीम एनक्रिप्टेड ट्रॅफिकसोबत डिक्रिप्ट न करता काम करण्यासाठी तंतोतंत आवश्यक आहे. हल्लेखोर हुशार आहेत आणि क्रिप्टो-प्रतिरोधक एन्क्रिप्शन अल्गोरिदम वापरतात आणि त्यांना तोडणे केवळ एक समस्या नाही तर संस्थांसाठी अत्यंत महाग आहे.

प्रणाली खालीलप्रमाणे कार्य करते. काही वाहतूक कंपनीकडे येते. हे TLS (ट्रान्सपोर्ट लेयर सिक्युरिटी) मध्ये येते. ट्रॅफिक एन्क्रिप्टेड आहे असे समजा. आम्ही कोणत्या प्रकारचे कनेक्शन केले याबद्दल अनेक प्रश्नांची उत्तरे देण्याचा प्रयत्न करीत आहोत.

एनक्रिप्टेड ट्रॅफिक ॲनालिटिक्स (ETA) प्रणाली कशी कार्य करते

या प्रश्नांची उत्तरे देण्यासाठी आम्ही या प्रणालीमध्ये मशीन लर्निंग वापरतो. Cisco कडून संशोधन घेतले जाते आणि या अभ्यासांवर आधारित 2 परिणामांमधून एक सारणी तयार केली जाते - दुर्भावनापूर्ण आणि "चांगली" रहदारी. अर्थात, सध्याच्या क्षणी कोणत्या प्रकारची रहदारी थेट सिस्टममध्ये आली हे आम्हाला निश्चितपणे माहित नाही, परंतु आम्ही जागतिक स्तरावरील डेटा वापरून कंपनीच्या आत आणि बाहेर दोन्ही ट्रॅफिकचा इतिहास शोधू शकतो. या टप्प्याच्या शेवटी, आम्हाला डेटासह एक विशाल सारणी मिळते.

अभ्यासाच्या परिणामांवर आधारित, वैशिष्ट्यपूर्ण वैशिष्ट्ये ओळखली जातात - काही नियम जे गणितीय स्वरूपात लिहून ठेवता येतात. हे नियम वेगवेगळ्या निकषांवर अवलंबून मोठ्या प्रमाणात बदलतील - हस्तांतरित केलेल्या फायलींचा आकार, कनेक्शनचा प्रकार, ज्या देशातून ही रहदारी येते इ. कामाच्या परिणामी, विशाल टेबल सूत्रांच्या ढीगांच्या संचामध्ये बदलले. त्यापैकी कमी आहेत, परंतु आरामदायक कामासाठी हे पुरेसे नाही.

पुढे, मशीन लर्निंग तंत्रज्ञान लागू केले जाते - सूत्र अभिसरण आणि अभिसरणाच्या परिणामावर आधारित आम्हाला ट्रिगर - एक स्विच मिळतो, जिथे डेटा आउटपुट होतो तेव्हा आम्हाला वरच्या किंवा खालच्या स्थितीत एक स्विच (ध्वज) मिळतो.

परिणामी टप्पा ट्रिगर्सचा संच मिळवत आहे ज्याने 99% रहदारी समाविष्ट केली आहे.

ETA मध्ये रहदारी तपासणीचे टप्पे

कामाच्या परिणामी, आणखी एक समस्या सोडवली जाते - आतून हल्ला. यापुढे मधल्या लोकांना ट्रॅफिक मॅन्युअली फिल्टर करण्याची गरज नाही (मी या टप्प्यावर स्वतःला बुडत आहे). प्रथम, आपल्याला यापुढे सक्षम सिस्टम प्रशासकावर जास्त पैसे खर्च करण्याची आवश्यकता नाही (मी स्वतःला बुडत आहे). दुसरे म्हणजे, आतून (किमान अंशतः) हॅकिंगचा धोका नाही.

कालबाह्य मनुष्य-इन-द-मिडल संकल्पना

आता, प्रणाली कशावर आधारित आहे ते शोधूया.

सिस्टम 4 कम्युनिकेशन प्रोटोकॉलवर चालते: TCP/IP – इंटरनेट डेटा ट्रान्सफर प्रोटोकॉल, DNS – डोमेन नेम सर्व्हर, TLS – ट्रान्सपोर्ट लेयर सिक्युरिटी प्रोटोकॉल, SPLT (स्पेसवायर फिजिकल लेयर टेस्टर) – फिजिकल कम्युनिकेशन लेयर टेस्टर.

ETA सह कार्य करणारे प्रोटोकॉल

डेटाची तुलना करून तुलना केली जाते. TCP/IP प्रोटोकॉल वापरून, साइटची प्रतिष्ठा तपासली जाते (भेट इतिहास, साइट तयार करण्याचा उद्देश इ.), DNS प्रोटोकॉलबद्दल धन्यवाद, आम्ही "खराब" साइट पत्ते टाकून देऊ शकतो. TLS प्रोटोकॉल साइटच्या फिंगरप्रिंटसह कार्य करतो आणि संगणक आणीबाणी प्रतिसाद संघ (प्रमाणपत्र) विरुद्ध साइट सत्यापित करतो. कनेक्शन तपासण्याची शेवटची पायरी म्हणजे भौतिक स्तरावर तपासणी. या स्टेजचे तपशील निर्दिष्ट केलेले नाहीत, परंतु बिंदू खालीलप्रमाणे आहे: ऑसिलोग्राफिक इंस्टॉलेशन्सवरील डेटा ट्रान्समिशन वक्रांचे साइन आणि कोसाइन वक्र तपासणे, उदा. भौतिक स्तरावरील विनंतीच्या संरचनेबद्दल धन्यवाद, आम्ही कनेक्शनचा हेतू निर्धारित करतो.

सिस्टमच्या ऑपरेशनच्या परिणामी, आम्ही एनक्रिप्टेड रहदारीवरून डेटा प्राप्त करू शकतो. पॅकेट्सचे परीक्षण करून, आम्ही पॅकेटमधील एनक्रिप्टेड फील्डमधून शक्य तितकी माहिती वाचू शकतो. भौतिक स्तरावर पॅकेटची तपासणी करून, आम्ही पॅकेटची वैशिष्ट्ये (अंशतः किंवा पूर्णपणे) शोधतो. तसेच, साइट्सच्या प्रतिष्ठेबद्दल विसरू नका. जर विनंती काही .onion स्त्रोताकडून आली असेल, तर तुम्ही त्यावर विश्वास ठेवू नये. या प्रकारच्या डेटासह कार्य करणे सोपे करण्यासाठी, जोखीम नकाशा तयार केला गेला आहे.

ETA च्या कार्याचा परिणाम

आणि सर्वकाही ठीक आहे असे दिसते, परंतु नेटवर्क उपयोजनाबद्दल बोलूया.

ETA ची प्रत्यक्ष अंमलबजावणी

येथे अनेक बारकावे आणि सूक्ष्मता उद्भवतात. प्रथम, या प्रकारची तयार करताना
उच्च-स्तरीय सॉफ्टवेअरसह नेटवर्क, डेटा संकलन आवश्यक आहे. डेटा पूर्णपणे मॅन्युअली गोळा करा
जंगली, परंतु प्रतिसाद प्रणाली लागू करणे आधीच अधिक मनोरंजक आहे. दुसरे म्हणजे, डेटा
तेथे बरेच काही असावे, याचा अर्थ स्थापित नेटवर्क सेन्सर्सने कार्य करणे आवश्यक आहे
केवळ स्वायत्तपणेच नाही तर बारीक ट्यून केलेल्या मोडमध्ये देखील, ज्यामुळे अनेक अडचणी निर्माण होतात.

सेन्सर्स आणि स्टेल्थवॉच सिस्टम

सेन्सर स्थापित करणे ही एक गोष्ट आहे, परंतु ते स्थापित करणे पूर्णपणे भिन्न कार्य आहे. सेन्सर कॉन्फिगर करण्यासाठी, एक कॉम्प्लेक्स आहे जे खालील टोपोलॉजीनुसार कार्य करते - ISR = Cisco Integrated Services Router; ASR = सिस्को एकत्रीकरण सेवा राउटर; CSR = सिस्को क्लाउड सर्व्हिसेस राउटर; WLC = सिस्को वायरलेस लॅन कंट्रोलर; IE = सिस्को इंडस्ट्रियल इथरनेट स्विच; ASA = Cisco Adaptive Security Appliance; FTD = सिस्को फायरपॉवर थ्रेट डिफेन्स सोल्यूशन; WSA = वेब सुरक्षा उपकरण; ISE = ओळख सेवा इंजिन

कोणताही टेलीमेट्रिक डेटा विचारात घेऊन सर्वसमावेशक निरीक्षण

नेटवर्क प्रशासकांना मागील परिच्छेदातील "सिस्को" शब्दांच्या संख्येवरून अतालता अनुभवण्यास सुरवात होते. या चमत्काराची किंमत कमी नाही, परंतु आज आपण ज्याबद्दल बोलत आहोत ते ते नाही...

हॅकरचे वर्तन खालीलप्रमाणे तयार केले जाईल. स्टील्थवॉच नेटवर्कवरील प्रत्येक उपकरणाच्या क्रियाकलापाचे काळजीपूर्वक निरीक्षण करते आणि सामान्य वर्तनाचा नमुना तयार करण्यास सक्षम आहे. याव्यतिरिक्त, हे समाधान ज्ञात अयोग्य वर्तनाबद्दल खोल अंतर्दृष्टी प्रदान करते. सोल्यूशनमध्ये अंदाजे 100 भिन्न विश्लेषण अल्गोरिदम किंवा ह्युरिस्टिक्स वापरतात जे विविध प्रकारच्या ट्रॅफिक वर्तन जसे की स्कॅनिंग, होस्ट अलार्म फ्रेम्स, ब्रूट-फोर्स लॉगिन, संशयित डेटा कॅप्चर, संशयित डेटा लीक इ. सूचीबद्ध सुरक्षा इव्हेंट उच्च-स्तरीय लॉजिकल अलार्मच्या श्रेणीत येतात. काही सुरक्षा इव्हेंट स्वतःच अलार्म ट्रिगर करू शकतात. अशाप्रकारे, सिस्टीम अनेक विलग विसंगत घटनांना परस्परसंबंधित करण्यास सक्षम आहे आणि हल्ल्याचा संभाव्य प्रकार निश्चित करण्यासाठी त्यांना एकत्र ठेवू शकते, तसेच त्यास विशिष्ट उपकरण आणि वापरकर्त्याशी जोडू शकते (आकृती 2). भविष्यात, घटनेचा कालांतराने अभ्यास केला जाऊ शकतो आणि संबंधित टेलीमेट्री डेटा विचारात घेतला जाऊ शकतो. हे सर्वोत्कृष्टपणे संदर्भित माहिती बनवते. काय चूक आहे हे समजून घेण्यासाठी रुग्णाची तपासणी करणारे डॉक्टर अलगावमध्ये लक्षणे पाहत नाहीत. ते निदान करण्यासाठी मोठ्या चित्राकडे पाहतात. त्याचप्रमाणे, स्टील्थवॉच नेटवर्कवरील प्रत्येक विसंगत क्रियाकलाप कॅप्चर करते आणि संदर्भ-जागरूक अलार्म पाठवण्यासाठी त्याचे समग्रपणे परीक्षण करते, ज्यामुळे सुरक्षा व्यावसायिकांना जोखमींना प्राधान्य देण्यात मदत होते.

वर्तन मॉडेलिंग वापरून विसंगती शोधणे

नेटवर्कचे भौतिक उपयोजन असे दिसते:

शाखा नेटवर्क उपयोजन पर्याय (सरलीकृत)

शाखा नेटवर्क उपयोजन पर्याय

नेटवर्क तैनात केले गेले आहे, परंतु न्यूरॉनचा प्रश्न खुला आहे. त्यांनी डेटा ट्रान्समिशन नेटवर्क आयोजित केले, थ्रेशहोल्डवर सेन्सर स्थापित केले आणि माहिती संकलन प्रणाली सुरू केली, परंतु न्यूरॉनने या प्रकरणात भाग घेतला नाही. बाय.

मल्टीलेअर न्यूरल नेटवर्क

सिस्टम दुर्भावनापूर्ण संक्रमण, कमांड आणि कंट्रोल सर्व्हरसह संप्रेषण, डेटा लीक आणि संस्थेच्या पायाभूत सुविधांमध्ये चालू असलेले संभाव्य अवांछित अनुप्रयोग शोधण्यासाठी वापरकर्ता आणि डिव्हाइस वर्तनाचे विश्लेषण करते. डेटा प्रोसेसिंगचे अनेक स्तर आहेत जेथे कृत्रिम बुद्धिमत्ता, मशीन लर्निंग आणि गणितीय सांख्यिकी तंत्रांचे संयोजन नेटवर्कला त्याची सामान्य क्रियाकलाप स्वत: शिकण्यास मदत करते जेणेकरून ते दुर्भावनापूर्ण क्रियाकलाप शोधू शकेल.

नेटवर्क सुरक्षा विश्लेषण पाइपलाइन, जी एन्क्रिप्टेड रहदारीसह विस्तारित नेटवर्कच्या सर्व भागांमधून टेलीमेट्री डेटा संकलित करते, हे स्टेल्थवॉचचे एक अद्वितीय वैशिष्ट्य आहे. हे "विसंगत" काय आहे याची समज वाढवते, नंतर "धोकादायक क्रियाकलाप" च्या वास्तविक वैयक्तिक घटकांचे वर्गीकरण करते आणि शेवटी डिव्हाइस किंवा वापरकर्त्याशी तडजोड केली गेली आहे की नाही याबद्दल अंतिम निर्णय घेते. मालमत्तेशी तडजोड केली गेली आहे की नाही याबद्दल अंतिम निर्णय घेण्यासाठी पुरावे तयार करणारे लहान तुकडे एकत्र करण्याची क्षमता अत्यंत काळजीपूर्वक विश्लेषण आणि परस्परसंबंधाद्वारे येते.

ही क्षमता महत्त्वाची आहे कारण एका सामान्य व्यवसायाला दररोज मोठ्या संख्येने अलार्म प्राप्त होऊ शकतात आणि प्रत्येकाची चौकशी करणे अशक्य आहे कारण सुरक्षा व्यावसायिकांकडे मर्यादित संसाधने आहेत. मशीन लर्निंग मॉड्युल गंभीर घटनांना उच्च पातळीवरील आत्मविश्वासाने ओळखण्यासाठी जवळच्या रिअल-टाइममध्ये मोठ्या प्रमाणावर माहिती प्रक्रिया करते आणि जलद निराकरणासाठी स्पष्ट कृती प्रदान करण्यास सक्षम आहे.

स्टील्थवॉचद्वारे वापरल्या जाणाऱ्या असंख्य मशीन लर्निंग तंत्रांवर बारकाईने नजर टाकूया. जेव्हा एखादी घटना स्टील्थवॉचच्या मशीन लर्निंग इंजिनमध्ये सबमिट केली जाते, तेव्हा ती सुरक्षा विश्लेषण फनेलमधून जाते जी पर्यवेक्षित आणि पर्यवेक्षित नसलेल्या मशीन लर्निंग तंत्रांचा वापर करते.

बहु-स्तरीय मशीन शिक्षण क्षमता

पातळी 1. विसंगती शोध आणि विश्वास मॉडेलिंग

या स्तरावर, सांख्यिकीय विसंगती डिटेक्टर वापरून 99% रहदारी टाकून दिली जाते. हे सेन्सर एकत्रितपणे सामान्य काय आणि काय असामान्य आहे याचे जटिल मॉडेल तयार करतात. तथापि, असामान्य अपरिहार्यपणे हानिकारक नाही. तुमच्या नेटवर्कवर जे काही घडत आहे त्याचा धोक्याशी काहीही संबंध नाही—हे फक्त विचित्र आहे. धोक्याच्या वर्तनाचा विचार न करता अशा प्रक्रियांचे वर्गीकरण करणे महत्त्वाचे आहे. या कारणास्तव, अशा डिटेक्टर्सच्या परिणामांचे विश्लेषण केले जाते जेणेकरुन विचित्र वर्तन कॅप्चर केले जाईल ज्याचे स्पष्टीकरण आणि विश्वासार्हता असेल. शेवटी, सर्वात महत्वाच्या थ्रेड्सचा आणि विनंत्यांचा फक्त एक छोटासा भाग 2 आणि 3 स्तरांवर पोहोचतो. अशा मशीन लर्निंग तंत्राचा वापर न करता, सिग्नलला आवाजापासून वेगळे करण्याचा ऑपरेशनल खर्च खूप जास्त असेल.

विसंगती शोधणे. विसंगती शोधण्याच्या पहिल्या पायरीमध्ये सांख्यिकीय दृष्ट्या सामान्य रहदारी विसंगत रहदारीपासून विभक्त करण्यासाठी सांख्यिकीय मशीन लर्निंग तंत्राचा वापर केला जातो. 70 पेक्षा जास्त वैयक्तिक डिटेक्टर स्टील्थवॉच तुमच्या नेटवर्क परिमितीतून जाणाऱ्या ट्रॅफिकवर संकलित केलेल्या टेलीमेट्री डेटावर प्रक्रिया करतात, अंतर्गत डोमेन नेम सिस्टम (DNS) ट्रॅफिक प्रॉक्सी सर्व्हर डेटापासून वेगळे करून, जर असेल तर. प्रत्येक विनंतीवर 70 पेक्षा जास्त डिटेक्टर द्वारे प्रक्रिया केली जाते, प्रत्येक डिटेक्टर स्वतःचे सांख्यिकीय अल्गोरिदम वापरून आढळलेल्या विसंगतींचे मूल्यांकन तयार करतो. हे स्कोअर एकत्रित केले जातात आणि प्रत्येक वैयक्तिक क्वेरीसाठी एकच स्कोअर तयार करण्यासाठी अनेक सांख्यिकीय पद्धती वापरल्या जातात. हा एकूण स्कोअर नंतर सामान्य आणि विसंगत रहदारी वेगळे करण्यासाठी वापरला जातो.

मॉडेलिंग ट्रस्ट. पुढे, समान विनंत्या गटबद्ध केल्या जातात आणि अशा गटांसाठी एकूण विसंगती स्कोअर दीर्घकालीन सरासरी म्हणून निर्धारित केला जातो. कालांतराने, दीर्घकालीन सरासरी निर्धारित करण्यासाठी अधिक प्रश्नांचे विश्लेषण केले जाते, ज्यामुळे खोटे सकारात्मक आणि चुकीचे नकारात्मक कमी होतात. ट्रस्ट मॉडेलिंग परिणामांचा वापर ट्रॅफिकचा उपसंच निवडण्यासाठी केला जातो ज्याचा विसंगती स्कोअर पुढील प्रक्रिया स्तरावर जाण्यासाठी काही डायनॅमिकली निर्धारित थ्रेशोल्डपेक्षा जास्त आहे.

पातळी 2. इव्हेंट वर्गीकरण आणि ऑब्जेक्ट मॉडेलिंग

या स्तरावर, मागील टप्प्यावर प्राप्त केलेले परिणाम वर्गीकृत केले जातात आणि विशिष्ट दुर्भावनापूर्ण घटनांना नियुक्त केले जातात. 90% वरील सातत्यपूर्ण अचूकता दर सुनिश्चित करण्यासाठी मशीन लर्निंग क्लासिफायर्सद्वारे नियुक्त केलेल्या मूल्यावर आधारित इव्हेंटचे वर्गीकरण केले जाते. त्यापैकी:

• नेयमन-पियरसन लेमा (लेखाच्या सुरुवातीला आलेखावरून सामान्य वितरणाचा नियम) वर आधारित रेखीय मॉडेल
• मल्टीव्हेरिएट लर्निंग वापरून वेक्टर मशीनला सपोर्ट करा
• न्यूरल नेटवर्क आणि यादृच्छिक वन अल्गोरिदम.

या वेगळ्या सुरक्षा इव्हेंट नंतर कालांतराने एकाच एंडपॉइंटशी संबंधित असतात. या टप्प्यावर धोक्याचे वर्णन तयार केले जाते, ज्याच्या आधारावर संबंधित आक्रमणकर्त्याने विशिष्ट परिणाम कसे साध्य केले याचे संपूर्ण चित्र तयार केले जाते.

घटनांचे वर्गीकरण. मागील स्तरावरील सांख्यिकीयदृष्ट्या विसंगत उपसंच वर्गीकरण वापरून 100 किंवा अधिक श्रेणींमध्ये वितरीत केले जातात. बहुतेक वर्गीकरण वैयक्तिक वर्तन, समूह संबंध किंवा जागतिक किंवा स्थानिक स्तरावरील वर्तनावर आधारित असतात, तर इतर अगदी विशिष्ट असू शकतात. उदाहरणार्थ, क्लासिफायर C&C रहदारी, संशयास्पद विस्तार किंवा अनधिकृत सॉफ्टवेअर अपडेट सूचित करू शकतो. या स्टेजच्या परिणामांवर आधारित, विशिष्ट श्रेणींमध्ये वर्गीकृत केलेल्या सुरक्षा प्रणालीमधील विसंगत घटनांचा एक संच तयार केला जातो.

ऑब्जेक्ट मॉडेलिंग. एखादी विशिष्ट वस्तू हानीकारक आहे या गृहीतकाचे समर्थन करणाऱ्या पुराव्याचे प्रमाण भौतिकतेच्या उंबरठ्यापेक्षा जास्त असल्यास, धोका निश्चित केला जातो. धोक्याच्या व्याख्येवर परिणाम करणाऱ्या संबंधित घटना अशा धोक्याशी संबंधित असतात आणि त्या वस्तूच्या स्वतंत्र दीर्घकालीन मॉडेलचा भाग बनतात. कालांतराने पुरावे जमा होत असताना, जेव्हा भौतिकतेच्या उंबरठ्यावर पोहोचते तेव्हा सिस्टम नवीन धोके ओळखते. हे थ्रेशोल्ड मूल्य डायनॅमिक आहे आणि धोक्याच्या जोखमीच्या स्तरावर आणि इतर घटकांवर आधारित बुद्धिमानपणे समायोजित केले आहे. यानंतर, धमकी वेब इंटरफेसच्या माहिती पॅनेलवर दिसते आणि पुढील स्तरावर हस्तांतरित केली जाते.

स्तर 3. रिलेशनशिप मॉडेलिंग

रिलेशनशिप मॉडेलिंगचा उद्देश केवळ स्थानिकच नव्हे तर संबंधित घटनेचा जागतिक संदर्भ लक्षात घेऊन मागील स्तरांवर मिळालेल्या परिणामांचे जागतिक दृष्टीकोनातून संश्लेषण करणे हा आहे. या टप्प्यावर आपण हे ठरवू शकता की अशा हल्ल्याचा सामना किती संस्थांनी केला आहे हे समजून घेण्यासाठी ते विशेषतः आपल्यासाठी होते किंवा जागतिक मोहिमेचा भाग आहे आणि आपण नुकतेच पकडले गेले.

घटना पुष्टी किंवा शोधल्या जातात. सत्यापित घटनेचा अर्थ 99 ते 100% आत्मविश्वास असतो कारण संबंधित तंत्रे आणि साधने पूर्वी मोठ्या (जागतिक) स्केलवर कृती करताना दिसून आली आहेत. आढळलेल्या घटना तुमच्यासाठी अनन्य आहेत आणि उच्च लक्ष्यित मोहिमेचा भाग आहेत. भूतकाळातील निष्कर्ष ज्ञात कृतीसह सामायिक केले जातात, प्रतिसादात तुमचा वेळ आणि संसाधने वाचवतात. तुमच्यावर कोणी हल्ला केला आणि मोहीम तुमच्या डिजिटल व्यवसायाला किती प्रमाणात लक्ष्य करत होती हे समजून घेण्यासाठी तुम्हाला आवश्यक असलेल्या तपास साधनांसह ते येतात. तुम्ही कल्पना करू शकता की, पुष्टी झालेल्या घटनांची संख्या सापडलेल्या घटनांच्या संख्येपेक्षा कितीतरी जास्त आहे कारण पुष्टी झालेल्या घटनांमध्ये हल्लेखोरांना जास्त खर्च लागत नाही, तर सापडलेल्या घटनांचा समावेश होतो.
महाग कारण ते नवीन आणि सानुकूलित असणे आवश्यक आहे. पुष्टी झालेल्या घटना ओळखण्याची क्षमता निर्माण करून, गेमचे अर्थशास्त्र शेवटी बचावकर्त्यांच्या बाजूने वळले, त्यांना एक वेगळा फायदा दिला.

ETA वर आधारित न्यूरल कनेक्शन सिस्टमचे बहु-स्तरीय प्रशिक्षण

जागतिक जोखीम नकाशा

जागतिक जोखीम नकाशा मशीन लर्निंग अल्गोरिदमद्वारे उद्योगातील त्याच्या प्रकारातील सर्वात मोठ्या डेटासेटवर लागू केलेल्या विश्लेषणाद्वारे तयार केला जातो. हे इंटरनेटवरील सर्व्हरशी संबंधित विस्तृत वर्तणूक आकडेवारी प्रदान करते, जरी ते अज्ञात असले तरीही. असे सर्व्हर हल्ल्यांशी निगडीत असतात आणि भविष्यात हल्ल्याचा भाग म्हणून सहभागी किंवा वापरले जाऊ शकतात. ही "ब्लॅकलिस्ट" नाही, तर सुरक्षेच्या दृष्टिकोनातून प्रश्नात असलेल्या सर्व्हरचे सर्वसमावेशक चित्र आहे. या सर्व्हरच्या क्रियाकलापांबद्दलची ही संदर्भित माहिती स्टील्थवॉचच्या मशीन लर्निंग डिटेक्टर आणि क्लासिफायर्सना अशा सर्व्हरशी संप्रेषणाशी संबंधित जोखमीच्या पातळीचा अचूक अंदाज लावू देते.

तुम्ही उपलब्ध कार्डे पाहू शकता येथे.

जागतिक नकाशा 460 दशलक्ष IP पत्ते दर्शवित आहे

आता नेटवर्क शिकते आणि तुमच्या नेटवर्कचे संरक्षण करण्यासाठी उभे राहते.

शेवटी रामबाण उपाय सापडला?

दुर्दैवाने, नाही. सिस्टमसह काम करण्याच्या अनुभवावरून, मी म्हणू शकतो की 2 जागतिक समस्या आहेत.

समस्या 1. किंमत. संपूर्ण नेटवर्क सिस्को प्रणालीवर तैनात केले आहे. हे चांगले आणि वाईट दोन्ही आहे. चांगली बाजू अशी आहे की तुम्हाला D-Link, MikroTik इत्यादी प्लग्सचा एक समूह त्रास देण्याची आणि स्थापित करण्याची गरज नाही. नकारात्मक बाजू म्हणजे सिस्टमची प्रचंड किंमत. रशियन व्यवसायाची आर्थिक स्थिती लक्षात घेता, सध्याच्या काळात केवळ मोठ्या कंपनी किंवा बँकेचा एक श्रीमंत मालक हा चमत्कार घेऊ शकतो.

समस्या 2: प्रशिक्षण. मी लेखात न्यूरल नेटवर्कसाठी प्रशिक्षण कालावधी लिहिला नाही, परंतु ते अस्तित्वात नाही म्हणून नाही, परंतु कारण ते नेहमीच शिकत असते आणि ते कधी शिकेल हे सांगता येत नाही. अर्थात, गणितीय आकडेवारीची साधने आहेत (पियर्सन अभिसरण निकषाचे समान सूत्र घ्या), परंतु हे अर्धे उपाय आहेत. आम्हाला ट्रॅफिक फिल्टर करण्याची संभाव्यता मिळते आणि तरीही केवळ अशा स्थितीत की हल्ला आधीच ओळखला गेला आहे.

या 2 समस्या असूनही, आम्ही सर्वसाधारणपणे माहिती सुरक्षा आणि विशेषतः नेटवर्क संरक्षणाच्या विकासामध्ये मोठी झेप घेतली आहे. ही वस्तुस्थिती नेटवर्क तंत्रज्ञान आणि न्यूरल नेटवर्क्सच्या अभ्यासासाठी प्रेरक ठरू शकते, जी आता एक अतिशय आशादायक दिशा आहे.

स्त्रोत: www.habr.com