StealthWatch: घटना विश्लेषण आणि तपास. भाग 3

सिस्को स्टेल्थवॉच माहिती सुरक्षेच्या क्षेत्रातील एक विश्लेषणात्मक उपाय आहे जे वितरित नेटवर्कमधील धोक्यांचे सर्वसमावेशक निरीक्षण प्रदान करते. StealthWatch राउटर, स्विच आणि इतर नेटवर्क उपकरणांमधून NetFlow आणि IPFIX गोळा करण्यावर आधारित आहे. परिणामी, नेटवर्क एक संवेदनशील सेन्सर बनते आणि प्रशासकाला पारंपारिक नेटवर्क सुरक्षा पद्धती, जसे की नेक्स्ट जनरेशन फायरवॉल, पोहोचू शकत नाहीत अशा ठिकाणी पाहण्याची परवानगी देते.

मागील लेखांमध्ये मी आधीच StealthWatch बद्दल लिहिले आहे: प्रथम परिचय आणि संधीआणि उपयोजन आणि कॉन्फिगरेशन. आता मी पुढे जाण्याचा आणि अलार्मसह कसे कार्य करावे याबद्दल चर्चा करण्याचा आणि सोल्यूशन व्युत्पन्न केलेल्या सुरक्षा घटनांचा तपास करण्याचा प्रस्ताव देतो. अशी 6 उदाहरणे असतील जी मला आशा आहे की उत्पादनाच्या उपयुक्ततेची चांगली कल्पना येईल.

प्रथम, असे म्हटले पाहिजे की स्टील्थवॉचमध्ये अल्गोरिदम आणि फीड्स दरम्यान अलार्मचे काही वितरण आहे. प्रथम विविध प्रकारचे अलार्म (सूचना) आहेत, ट्रिगर केल्यावर, आपण नेटवर्कवर संशयास्पद गोष्टी शोधू शकता. दुसरी सुरक्षा घटना. हा लेख ट्रिगर केलेल्या अल्गोरिदमची 4 उदाहरणे आणि फीडची 2 उदाहरणे पाहणार आहे.

1. नेटवर्कमधील सर्वात मोठ्या परस्परसंवादांचे विश्लेषण

StealthWatch सेट अप करण्याची सुरुवातीची पायरी म्हणजे यजमान आणि नेटवर्कची गटांमध्ये व्याख्या करणे. वेब इंटरफेस टॅबमध्ये कॉन्फिगर करा > होस्ट ग्रुप मॅनेजमेंट नेटवर्क, होस्ट आणि सर्व्हर योग्य गटांमध्ये वर्गीकृत केले पाहिजेत. तुम्ही तुमचे स्वतःचे गट देखील तयार करू शकता. तसे, Cisco StealthWatch मधील होस्टमधील परस्परसंवादाचे विश्लेषण करणे खूप सोयीचे आहे, कारण आपण केवळ प्रवाहाद्वारे शोध फिल्टरच जतन करू शकत नाही तर स्वतःचे परिणाम देखील जतन करू शकता.

प्रारंभ करण्यासाठी, वेब इंटरफेसमध्ये आपण टॅबवर जावे विश्लेषण करा > प्रवाह शोध. मग आपण खालील पॅरामीटर्स सेट केले पाहिजेत:

• शोध प्रकार - शीर्ष संभाषणे (सर्वात लोकप्रिय परस्परसंवाद)
• वेळ श्रेणी - 24 तास (वेळ कालावधी, तुम्ही दुसरा वापरू शकता)
• नाव शोधा - आत-आतल्या शीर्ष संभाषणे (कोणतेही अनुकूल नाव)
• विषय - होस्ट गट → इनसाइड होस्ट्स (स्रोत - अंतर्गत यजमानांचा गट)
• कनेक्शन (आपण पोर्ट, अनुप्रयोग निर्दिष्ट करू शकता)
• पीअर - होस्ट ग्रुप → इनसाइड होस्ट्स (गंतव्य - अंतर्गत नोड्सचा गट)
• प्रगत पर्यायांमध्ये, आउटपुट (बाइट्स, स्ट्रीम इ. द्वारे) वर्गीकरण करून, ज्यावरून डेटा पाहिला जातो तो कलेक्टर तुम्ही अतिरिक्तपणे निर्दिष्ट करू शकता. मी ते डीफॉल्ट म्हणून सोडतो.

बटण दाबल्यानंतर शोध परस्परसंवादांची सूची प्रदर्शित केली जाते जी आधीच हस्तांतरित केलेल्या डेटाच्या प्रमाणात क्रमवारी लावलेली आहे.

माझ्या उदाहरणात होस्ट 10.150.1.201 (सर्व्हर) फक्त एका थ्रेडमध्ये प्रसारित केला जातो एक्सएनयूएमएक्स जीबी होस्ट करण्यासाठी रहदारी 10.150.1.200 (क्लायंट) प्रोटोकॉलनुसार mysql. बटण स्तंभ व्यवस्थापित करा तुम्हाला आउटपुट डेटामध्ये अधिक स्तंभ जोडण्याची परवानगी देते.

पुढे, प्रशासकाच्या विवेकबुद्धीनुसार, तुम्ही एक सानुकूल नियम तयार करू शकता जो नेहमी या प्रकारच्या परस्परसंवादाला ट्रिगर करेल आणि तुम्हाला SNMP, ईमेल किंवा Syslog द्वारे सूचित करेल.

2. विलंबासाठी नेटवर्कमधील सर्वात धीमे क्लायंट-सर्व्हर परस्परसंवादाचे विश्लेषण

टॅग्ज SRT (सर्व्हर प्रतिसाद वेळ), RTT (राउंड ट्रिप वेळ) तुम्हाला सर्व्हर विलंब आणि सामान्य नेटवर्क विलंब शोधण्याची परवानगी देते. हे साधन विशेषतः उपयोगी आहे जेव्हा तुम्हाला धीमे-चालणार्‍या अनुप्रयोगाबद्दल वापरकर्त्याच्या तक्रारींचे कारण द्रुतपणे शोधण्याची आवश्यकता असते.

शेरा: जवळजवळ सर्व नेटफ्लो निर्यातदार कसे माहित नाही SRT, RTT टॅग पाठवा, त्यामुळे अनेकदा, FlowSensor वर असा डेटा पाहण्यासाठी, तुम्हाला नेटवर्क डिव्हाइसेसवरून रहदारीची प्रत पाठवणे कॉन्फिगर करणे आवश्यक आहे. FlowSensor यामधून FlowCollector ला विस्तारित IPFIX पाठवते.

प्रशासकाच्या संगणकावर स्थापित केलेल्या StealtWatch जावा ऍप्लिकेशनमध्ये हे विश्लेषण करणे अधिक सोयीचे आहे.

उजवे माऊस बटण चालू यजमानांच्या आत आणि टॅबवर जा फ्लो टेबल.

वर क्लिक करा फिल्टर आणि आवश्यक पॅरामीटर्स सेट करा. उदाहरणार्थ:

• तारीख/वेळ - शेवटचे ३ दिवस
• कार्यप्रदर्शन — सरासरी राउंड ट्रिप वेळ >=50ms

डेटा प्रदर्शित केल्यानंतर, आम्हाला स्वारस्य असलेली RTT आणि SRT फील्ड जोडली पाहिजेत. हे करण्यासाठी, स्क्रीनशॉटमधील स्तंभावर क्लिक करा आणि उजव्या माऊस बटणाने निवडा स्तंभ व्यवस्थापित करा. पुढे, RTT, SRT पॅरामीटर्स क्लिक करा.

विनंतीवर प्रक्रिया केल्यानंतर, मी RTT सरासरीनुसार क्रमवारी लावली आणि सर्वात कमी संवाद पाहिले.

तपशीलवार माहितीमध्ये जाण्यासाठी, प्रवाहावर उजवे-क्लिक करा आणि निवडा प्रवाहासाठी द्रुत दृश्य.

ही माहिती यजमान सूचित करते 10.201.3.59 गटाकडून विक्री आणि विपणन प्रोटोकॉल द्वारे NFS ला आवाहन करते DNS सर्व्हर एक मिनिट आणि 23 सेकंदांसाठी आणि फक्त भयानक अंतर आहे. टॅबमध्ये संवाद माहिती कोणत्या Netflow डेटा निर्यातदाराकडून मिळवली गेली हे तुम्ही शोधू शकता. टॅबमध्ये टेबल परस्परसंवादाबद्दल अधिक तपशीलवार माहिती दर्शविली आहे.

पुढे, फ्लोसेन्सरला कोणती उपकरणे रहदारी पाठवतात आणि समस्या बहुधा तेथे आहे हे आपण शोधले पाहिजे.

शिवाय, StealthWatch ते चालवते त्यामध्ये अद्वितीय आहे डुप्लिकेशन डेटा (समान प्रवाह एकत्र करते). म्हणून, आपण जवळजवळ सर्व नेटफ्लो डिव्हाइसेसवरून संकलित करू शकता आणि भरपूर डुप्लिकेट डेटा असेल याची भीती बाळगू नका. त्याउलट, या योजनेत कोणत्या हॉपला सर्वात जास्त विलंब होतो हे समजण्यास मदत होईल.

3. HTTPS क्रिप्टोग्राफिक प्रोटोकॉलचे ऑडिट

ETA (एनक्रिप्टेड रहदारी विश्लेषण) Cisco द्वारे विकसित केलेले तंत्रज्ञान आहे जे तुम्हाला कूटबद्ध रहदारीमध्ये दुर्भावनापूर्ण कनेक्शन डिक्रिप्ट न करता शोधण्याची परवानगी देते. शिवाय, हे तंत्रज्ञान तुम्हाला HTTPS च्या TLS आवृत्त्यांमध्ये आणि कनेक्शन दरम्यान वापरल्या जाणार्‍या क्रिप्टोग्राफिक प्रोटोकॉलमध्ये "विश्लेषण" करण्याची परवानगी देते. ही कार्यक्षमता विशेषतः उपयोगी असते जेव्हा तुम्हाला कमकुवत क्रिप्टो मानके वापरणारे नेटवर्क नोड्स शोधण्याची आवश्यकता असते.

शेरा: तुम्ही प्रथम StealthWatch वर नेटवर्क अॅप इंस्टॉल करणे आवश्यक आहे - ETA क्रिप्टोग्राफिक ऑडिट.

टॅबवर जा डॅशबोर्ड → ETA क्रिप्टोग्राफिक ऑडिट आणि यजमानांचा गट निवडा ज्याचे आम्ही विश्लेषण करू इच्छित आहोत. एकूण चित्रासाठी, चला निवडा यजमानांच्या आत.

तुम्ही पाहू शकता की TLS आवृत्ती आणि संबंधित क्रिप्टो मानक आउटपुट आहेत. स्तंभातील नेहमीच्या योजनेनुसार क्रिया जा प्रवाह पहा आणि शोध नवीन टॅबमध्ये सुरू होतो.

आउटपुटवरून हे पाहिले जाऊ शकते की होस्ट 198.19.20.136 संपूर्ण 12 तास TLS 1.2 सह HTTPS वापरले, जेथे एन्क्रिप्शन अल्गोरिदम एईएस-एक्सएमएक्स आणि हॅश फंक्शन SHA-384. अशा प्रकारे, ETA तुम्हाला नेटवर्कवर कमकुवत अल्गोरिदम शोधण्याची परवानगी देतो.

4. नेटवर्क विसंगती विश्लेषण

Cisco StealthWatch तीन साधनांचा वापर करून नेटवर्कवरील रहदारी विसंगती ओळखू शकते: मुख्य कार्यक्रम (सुरक्षा कार्यक्रम), नातेसंबंध घटना (सेगमेंट, नेटवर्क नोड्समधील परस्परसंवादाच्या घटना) आणि वर्तन विश्लेषण.

वर्तणूक विश्लेषण, कालांतराने, विशिष्ट होस्ट किंवा यजमानांच्या गटासाठी वर्तन मॉडेल तयार करण्यास अनुमती देते. StealthWatch मधून जितके जास्त ट्रॅफिक जाईल, तितके अधिक अचूक अलर्ट या विश्लेषणामुळे असतील. सुरुवातीला, सिस्टम खूप चुकीच्या पद्धतीने ट्रिगर करते, म्हणून नियम हाताने "पिळणे" पाहिजे. मी शिफारस करतो की तुम्ही पहिल्या काही आठवड्यांपर्यंत अशा घटनांकडे दुर्लक्ष करा, कारण सिस्टम स्वतः समायोजित करेल किंवा त्यांना अपवादांमध्ये जोडेल.

खाली पूर्वनिर्धारित नियमाचे उदाहरण आहे विसंगती, जे सांगते की इव्हेंट अलार्मशिवाय फायर होईल जर इनसाइड होस्ट ग्रुपमधील होस्ट इनसाइड होस्ट्स ग्रुपशी संवाद साधतो आणि 24 तासांच्या आत ट्रॅफिक 10 मेगाबाइट्सपेक्षा जास्त होईल.

उदाहरणार्थ, एक अलार्म घेऊ डेटा होर्डिंग, याचा अर्थ असा आहे की काही स्त्रोत/गंतव्य होस्टने होस्ट किंवा होस्टच्या गटाकडून असामान्यपणे मोठ्या प्रमाणात डेटा अपलोड/डाउनलोड केला आहे. इव्हेंटवर क्लिक करा आणि ट्रिगरिंग होस्ट दर्शविल्या गेलेल्या टेबलवर जा. पुढे, स्तंभामध्ये आम्हाला स्वारस्य असलेले होस्ट निवडा डेटा होर्डिंग.

162k "पॉइंट" आढळले असल्याचे दर्शविणारा एक कार्यक्रम प्रदर्शित केला जातो आणि धोरणानुसार, 100k "पॉइंट्स" ला अनुमती आहे - हे अंतर्गत StealthWatch मेट्रिक्स आहेत. एका स्तंभात क्रिया ढकलणे प्रवाह पहा.

ते आपण निरीक्षण करू शकतो दिलेले यजमान रात्री यजमानाशी संवाद साधला 10.201.3.47 विभागाकडून विक्री आणि विपणन प्रोटोकॉल द्वारे HTTPS आणि डाउनलोड केले एक्सएनयूएमएक्स जीबी. कदाचित हे उदाहरण पूर्णपणे यशस्वी होणार नाही, परंतु अगदी शंभर गीगाबाइट्ससाठी परस्परसंवाद शोधणे अगदी त्याच प्रकारे केले जाते. म्हणून, विसंगतींच्या पुढील तपासणीमुळे मनोरंजक परिणाम मिळू शकतात.

शेरा: SMC वेब इंटरफेसमध्ये, डेटा टॅबमध्ये आहे डॅशबोर्ड फक्त गेल्या आठवड्यासाठी आणि टॅबमध्ये प्रदर्शित केले जातात मॉनिटर गेल्या 2 आठवड्यांमध्ये. जुन्या घटनांचे विश्लेषण करण्यासाठी आणि अहवाल तयार करण्यासाठी, तुम्हाला प्रशासकाच्या संगणकावर जावा कन्सोलसह कार्य करणे आवश्यक आहे.

5. अंतर्गत नेटवर्क स्कॅन शोधणे

आता फीडची काही उदाहरणे पाहू - माहिती सुरक्षा घटना. ही कार्यक्षमता सुरक्षा व्यावसायिकांसाठी अधिक स्वारस्य आहे.

StealthWatch मध्ये अनेक प्रीसेट स्कॅन इव्हेंट प्रकार आहेत:

• पोर्ट स्कॅन—स्रोत गंतव्य होस्टवरील एकाधिक पोर्ट स्कॅन करतो.
• Addr tcp स्कॅन - स्त्रोत त्याच TCP पोर्टवर संपूर्ण नेटवर्क स्कॅन करतो, गंतव्य IP पत्ता बदलतो. या प्रकरणात, स्रोत TCP रीसेट पॅकेट प्राप्त करतो किंवा प्रतिसाद प्राप्त करत नाही.
• Addr udp स्कॅन - गंतव्य IP पत्ता बदलताना स्त्रोत त्याच UDP पोर्टवर संपूर्ण नेटवर्क स्कॅन करतो. या प्रकरणात, स्त्रोताला ICMP पोर्ट अगम्य पॅकेट प्राप्त होतात किंवा प्रतिसाद मिळत नाहीत.
• पिंग स्कॅन - उत्तरे शोधण्यासाठी स्त्रोत संपूर्ण नेटवर्कला ICMP विनंत्या पाठवतो.
• स्टेल्थ स्कॅन tсp/udp - स्त्रोताने एकाच वेळी गंतव्य नोडवरील एकाधिक पोर्टशी कनेक्ट करण्यासाठी समान पोर्ट वापरला.

एकाच वेळी सर्व अंतर्गत स्कॅनर शोधणे अधिक सोयीस्कर बनवण्यासाठी, यासाठी नेटवर्क अॅप आहे StealthWatch - दृश्यमानता मूल्यांकन. टॅबवर जात आहे डॅशबोर्ड → दृश्यमानता मूल्यांकन → अंतर्गत नेटवर्क स्कॅनर तुम्हाला मागील 2 आठवड्यांपासून स्कॅनिंगशी संबंधित सुरक्षा घटना दिसतील.

बटण क्लिक करून माहिती, तुम्हाला प्रत्येक नेटवर्कचे स्कॅनिंग, रहदारीचा कल आणि संबंधित अलार्म दिसेल.

पुढे, तुम्ही मागील स्क्रीनशॉटमधील टॅबमधून होस्टमध्ये “अयशस्वी” होऊ शकता आणि सुरक्षा इव्हेंट तसेच या होस्टसाठी गेल्या आठवड्यातील क्रियाकलाप पाहू शकता.

उदाहरण म्हणून, घटनेचे विश्लेषण करूया पोर्ट स्कॅन यजमानाकडून 10.201.3.149 वर 10.201.0.72, दाबणे क्रिया > संबद्ध प्रवाह. थ्रेड शोध सुरू केला जातो आणि संबंधित माहिती प्रदर्शित केली जाते.

आम्ही या होस्टला त्याच्या एका पोर्टवरून कसे पाहतो 51508 / टीसीपी पोर्टद्वारे गंतव्य होस्ट 3 तासांपूर्वी स्कॅन केले 22, 28, 42, 41, 36, 40 (TCP). काही फील्ड माहिती प्रदर्शित करत नाहीत कारण नेटफ्लो एक्सपोर्टरवर सर्व नेटफ्लो फील्ड समर्थित नाहीत.

6. CTA वापरून डाउनलोड केलेल्या मालवेअरचे विश्लेषण

CTA (कॉग्निटिव्ह थ्रेट अॅनालिटिक्स) — सिस्को क्लाउड अॅनालिटिक्स, जे सिस्को स्टील्थवॉच सह उत्तम प्रकारे समाकलित होते आणि तुम्हाला स्वाक्षरी-मुक्त विश्लेषणास स्वाक्षरी विश्लेषणासह पूरक करण्याची परवानगी देते. यामुळे ट्रोजन, नेटवर्क वर्म्स, झिरो-डे मालवेअर आणि इतर मालवेअर शोधणे आणि नेटवर्कमध्ये वितरित करणे शक्य होते. तसेच, पूर्वी नमूद केलेले ईटीए तंत्रज्ञान तुम्हाला एनक्रिप्टेड रहदारीमध्ये अशा दुर्भावनापूर्ण संप्रेषणांचे विश्लेषण करण्याची परवानगी देते.

अक्षरशः वेब इंटरफेसच्या पहिल्या टॅबवर एक विशेष विजेट आहे संज्ञानात्मक धोका विश्लेषण. एक संक्षिप्त सारांश वापरकर्ता होस्टवर आढळलेल्या धोक्यांना सूचित करतो: ट्रोजन, फसवे सॉफ्टवेअर, त्रासदायक अॅडवेअर. "एनक्रिप्टेड" हा शब्द प्रत्यक्षात ETA चे कार्य सूचित करतो. होस्टवर क्लिक केल्यावर, त्याबद्दलची सर्व माहिती, CTA लॉगसह सुरक्षा इव्हेंट्स दिसतात.

CTA च्या प्रत्येक टप्प्यावर फिरून, इव्हेंट परस्परसंवादाबद्दल तपशीलवार माहिती प्रदर्शित करतो. संपूर्ण विश्लेषणासाठी, येथे क्लिक करा घटनेचे तपशील पहा, आणि तुम्हाला वेगळ्या कन्सोलवर नेले जाईल संज्ञानात्मक धोका विश्लेषण.

वरच्या उजव्या कोपर्यात, एक फिल्टर आपल्याला तीव्रतेच्या पातळीनुसार इव्हेंट प्रदर्शित करण्यास अनुमती देतो. तुम्ही विशिष्ट विसंगतीकडे निर्देश करता तेव्हा, लॉग स्क्रीनच्या तळाशी उजवीकडे संबंधित टाइमलाइनसह दिसतात. अशा प्रकारे, माहिती सुरक्षा तज्ञांना स्पष्टपणे समजते की कोणता संक्रमित होस्ट, कोणत्या कृतींनंतर, कोणती क्रिया करू लागला.

खाली आणखी एक उदाहरण आहे - एक बँकिंग ट्रोजन ज्याने होस्टला संक्रमित केले 198.19.30.36. या होस्टने दुर्भावनापूर्ण डोमेनशी संवाद साधण्यास सुरुवात केली आणि लॉग या परस्परसंवादाच्या प्रवाहावर माहिती दर्शवतात.

पुढे, यजमानांना अलग ठेवणे हा एक उत्तम उपाय असू शकतो एकत्रीकरण पुढील उपचार आणि विश्लेषणासाठी Cisco ISE सह.

निष्कर्ष

नेटवर्क विश्लेषण आणि माहिती सुरक्षा या दोन्ही बाबतीत नेटवर्क मॉनिटरींग उत्पादनांमध्ये Cisco StealthWatch सोल्यूशन हे आघाडीवर आहे. त्याबद्दल धन्यवाद, आपण नेटवर्कमधील बेकायदेशीर परस्परसंवाद, अनुप्रयोग विलंब, सर्वात सक्रिय वापरकर्ते, विसंगती, मालवेअर आणि एपीटी शोधू शकता. शिवाय, तुम्ही स्कॅनर, पेंटेस्टर्स शोधू शकता आणि HTTPS रहदारीचे क्रिप्टो-ऑडिट करू शकता. आपण येथे आणखी वापर प्रकरणे शोधू शकता दुवा.

तुमच्या नेटवर्कवर सर्वकाही किती सुरळीत आणि कार्यक्षमतेने कार्य करते हे तुम्ही तपासू इच्छित असल्यास, पाठवा बोली.
नजीकच्या भविष्यात, आम्ही विविध माहिती सुरक्षा उत्पादनांवर आणखी अनेक तांत्रिक प्रकाशनांची योजना करत आहोत. आपल्याला या विषयात स्वारस्य असल्यास, आमच्या चॅनेलमधील अद्यतनांचे अनुसरण करा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग)!

स्त्रोत: www.habr.com