StealthWatch: घटना विश्लेषण र अनुसन्धान। भाग ३

सिस्को स्टेल्थवाच सूचना सुरक्षाको क्षेत्रमा एक विश्लेषणात्मक समाधान हो जसले वितरित नेटवर्कमा खतराहरूको व्यापक अनुगमन प्रदान गर्दछ। StealthWatch राउटरहरू, स्विचहरू र अन्य नेटवर्क उपकरणहरूबाट NetFlow र IPFIX सङ्कलनमा आधारित छ। नतिजाको रूपमा, नेटवर्क एक संवेदनशील सेन्सर बन्छ र प्रशासकलाई परम्परागत नेटवर्क सुरक्षा विधिहरू, जस्तै नेक्स्ट जेनेरेशन फायरवाल, पुग्न नसक्ने ठाउँहरू हेर्न अनुमति दिन्छ।

अघिल्लो लेखहरूमा मैले StealthWatch बारे पहिले नै लेखेको छु: पहिलो परिचय र अवसरर परिनियोजन र कन्फिगरेसन। अब म अगाडि बढ्ने र कसरी अलार्मसँग काम गर्ने र समाधानले उत्पन्न हुने सुरक्षा घटनाहरूको छानबिन गर्ने प्रस्ताव गर्छु। त्यहाँ 6 उदाहरणहरू हुनेछन् जुन मलाई आशा छ कि उत्पादनको उपयोगिताको राम्रो विचार दिनेछ।

पहिलो, यो भनिन्छ कि StealthWatch एल्गोरिदम र फिडहरू बीच अलार्म को केहि वितरण छ। पहिलो विभिन्न प्रकारका अलार्महरू (सूचनाहरू) हुन्, जब ट्रिगर गरिन्छ, तपाईंले नेटवर्कमा शंकास्पद चीजहरू पत्ता लगाउन सक्नुहुन्छ। दोस्रो सुरक्षा घटना हो। यस लेखले ट्रिगर गरिएका एल्गोरिदमका 4 उदाहरणहरू र फिडहरूको 2 उदाहरणहरू हेर्नेछ।

1. नेटवर्क भित्र सबैभन्दा ठूलो अन्तरक्रिया को विश्लेषण

StealthWatch सेटअप गर्ने प्रारम्भिक चरण होस्ट र नेटवर्कहरूलाई समूहहरूमा परिभाषित गर्नु हो। वेब इन्टरफेस ट्याबमा कन्फिगर गर्नुहोस् > होस्ट समूह व्यवस्थापन नेटवर्कहरू, होस्टहरू, र सर्भरहरूलाई उपयुक्त समूहहरूमा वर्गीकृत गर्नुपर्छ। तपाईं पनि आफ्नो समूह बनाउन सक्नुहुन्छ। वैसे, Cisco StealthWatch मा होस्टहरू बीच अन्तरक्रियाहरू विश्लेषण गर्न धेरै सुविधाजनक छ, किनकि तपाइँ स्ट्रिम द्वारा खोज फिल्टरहरू मात्र बचत गर्न सक्नुहुन्न, तर परिणामहरू पनि।

सुरु गर्नको लागि, वेब इन्टरफेसमा तपाईंले ट्याबमा जानुपर्छ विश्लेषण > प्रवाह खोज। त्यसपछि तपाईंले निम्न प्यारामिटरहरू सेट गर्नुपर्छ:

• खोज प्रकार - शीर्ष वार्तालापहरू (सबैभन्दा लोकप्रिय अन्तरक्रियाहरू)
• समय दायरा - 24 घण्टा (समय अवधि, तपाईं अर्को प्रयोग गर्न सक्नुहुन्छ)
• खोज नाम - शीर्ष वार्तालापहरू भित्र-भित्र (कुनै पनि अनुकूल नाम)
• विषय - होस्ट समूहहरू → भित्री होस्टहरू (स्रोत - आन्तरिक होस्टहरूको समूह)
• जडान (तपाईले पोर्टहरू, अनुप्रयोगहरू निर्दिष्ट गर्न सक्नुहुन्छ)
• पियर - होस्ट समूह → भित्री होस्टहरू (गन्तव्य - आन्तरिक नोडहरूको समूह)
• उन्नत विकल्पहरूमा, तपाइँ अतिरिक्त रूपमा कलेक्टर निर्दिष्ट गर्न सक्नुहुन्छ जहाँबाट डाटा हेरिएको छ, आउटपुट क्रमबद्ध गर्दै (बाइटहरू, स्ट्रिमहरू, आदि द्वारा)। म यसलाई पूर्वनिर्धारित रूपमा छोड्नेछु।

बटन थिचे पछि खोज अन्तरक्रियाहरूको सूची प्रदर्शित हुन्छ जुन पहिले नै स्थानान्तरण गरिएको डाटाको मात्रा अनुसार क्रमबद्ध गरिएको छ।

मेरो उदाहरणमा होस्ट 10.150.1.201 (सर्भर) केवल एक थ्रेड भित्र प्रसारित 1.5 जीबी होस्ट गर्न ट्राफिक 10.150.1.200 (ग्राहक) प्रोटोकल द्वारा MySQL। टांक स्तम्भहरू प्रबन्ध गर्नुहोस् तपाईंलाई आउटपुट डाटामा थप स्तम्भहरू थप्न अनुमति दिन्छ।

अर्को, प्रशासकको विवेकमा, तपाइँ एक अनुकूलन नियम सिर्जना गर्न सक्नुहुन्छ जसले सधैं यस प्रकारको अन्तरक्रियालाई ट्रिगर गर्दछ र तपाइँलाई SNMP, इमेल वा Syslog मार्फत सूचित गर्दछ।

2. ढिलाइको लागि नेटवर्क भित्र सबैभन्दा ढिलो ग्राहक-सर्भर अन्तरक्रियाहरूको विश्लेषण

लेबलहरू SRT (सर्भर प्रतिक्रिया समय), RTT (राउन्ड ट्रिप टाइम) तपाईंलाई सर्भर ढिलाइ र सामान्य नेटवर्क ढिलाइहरू पत्ता लगाउन अनुमति दिन्छ। यो उपकरण विशेष गरी उपयोगी छ जब तपाइँ एक ढिलो-चलिरहेको अनुप्रयोग बारे प्रयोगकर्ता गुनासोहरूको कारण छिटो फेला पार्न आवश्यक छ।

भन्नु: लगभग सबै नेटफ्लो निर्यातकहरू थाहा छैन कसरी SRT, RTT ट्यागहरू पठाउनुहोस्, अक्सर, FlowSensor मा यस्तो डेटा हेर्नको लागि, तपाईंले नेटवर्क उपकरणहरूबाट ट्राफिकको प्रतिलिपि पठाउने कन्फिगर गर्न आवश्यक छ। FlowSensor ले विस्तारित IPFIX FlowCollector लाई पठाउँछ।

प्रशासकको कम्प्युटरमा स्थापना भएको StealtWatch java अनुप्रयोगमा यो विश्लेषण गर्न अझ सुविधाजनक छ।

दायाँ माउस बटन अन भित्र होस्टहरू र ट्याबमा जानुहोस् प्रवाह तालिका.

थिच्नुस फिल्टर र आवश्यक प्यारामिटरहरू सेट गर्नुहोस्। उदाहरणको रूपमा:

• मिति/समय - पछिल्लो ३ दिनको लागि
• प्रदर्शन — औसत राउन्ड ट्रिप समय >=50ms

डाटा प्रदर्शन गरेपछि, हामीले RTT र SRT क्षेत्रहरू थप्नु पर्छ जुन हामीलाई रुचि छ। यो गर्नको लागि, स्क्रिनसटको स्तम्भमा क्लिक गर्नुहोस् र दायाँ माउस बटनको साथ चयन गर्नुहोस् स्तम्भहरू प्रबन्ध गर्नुहोस्। अर्को, RTT, SRT प्यारामिटरहरूमा क्लिक गर्नुहोस्।

अनुरोध प्रशोधन गरेपछि, मैले RTT औसत अनुसार क्रमबद्ध गरें र सबैभन्दा ढिलो अन्तरक्रियाहरू देखे।

विस्तृत जानकारीमा जानको लागि, स्ट्रिममा दायाँ क्लिक गर्नुहोस् र चयन गर्नुहोस् प्रवाहको लागि द्रुत दृश्य.

यो जानकारीले होस्टलाई संकेत गर्छ 10.201.3.59 समूहबाट बिक्री र मार्केटिंग प्रोटोकल द्वारा NFS लाई अपील गर्दछ DNS सर्भर एक मिनेट र 23 सेकेन्डको लागि र केवल भयानक ढिलाइ छ। ट्याबमा इन्टरफेस तपाइँ कुन Netflow डाटा निर्यातकर्ता बाट जानकारी प्राप्त गरिएको थियो पत्ता लगाउन सक्नुहुन्छ। ट्याबमा तालिका अन्तरक्रियाको बारेमा थप विस्तृत जानकारी देखाइएको छ।

अर्को, तपाईंले पत्ता लगाउनु पर्छ कि कुन यन्त्रहरूले फ्लोसेन्सरमा ट्राफिक पठाउँछन् र समस्या प्रायः त्यहाँ छ।

यसबाहेक, StealthWatch यो सञ्चालन मा अद्वितीय छ डुप्लिकेशन डाटा (एउटै स्ट्रिमहरू संयोजन गर्दछ)। त्यसकारण, तपाइँ लगभग सबै नेटफ्लो उपकरणहरूबाट सङ्कलन गर्न सक्नुहुन्छ र डराउनु पर्दैन कि त्यहाँ धेरै नक्कल डाटा हुनेछ। यसको विपरीत, यो योजनामा ​​कुन हपमा सबैभन्दा ठूलो ढिलाइ छ भनेर बुझ्न मद्दत गर्नेछ।

3. HTTPS क्रिप्टोग्राफिक प्रोटोकलहरूको अडिट

ETA (इन्क्रिप्टेड ट्राफिक एनालिटिक्स) Cisco द्वारा विकसित गरिएको एउटा प्रविधि हो जसले तपाईंलाई गुप्तिकरण गरिएको ट्राफिकमा दुर्भावनापूर्ण जडानहरू डिक्रिप्ट नगरी पत्ता लगाउन अनुमति दिन्छ। यसबाहेक, यो प्रविधिले तपाईंलाई HTTPS लाई TLS संस्करणहरू र क्रिप्टोग्राफिक प्रोटोकलहरूमा "पार्स" गर्न अनुमति दिन्छ जुन जडानको समयमा प्रयोग गरिन्छ। यो कार्यक्षमता विशेष गरी उपयोगी हुन्छ जब तपाईलाई कमजोर क्रिप्टो मानकहरू प्रयोग गर्ने नेटवर्क नोडहरू पत्ता लगाउन आवश्यक हुन्छ।

भन्नु: तपाईंले पहिले StealthWatch मा नेटवर्क एप स्थापना गर्नुपर्छ - ETA क्रिप्टोग्राफिक अडिट.

ट्याबमा जानुहोस् ड्यासबोर्डहरू → ETA क्रिप्टोग्राफिक अडिट र हामीले विश्लेषण गर्ने योजना बनाएका होस्टहरूको समूह चयन गर्नुहोस्। समग्र तस्वीरको लागि, छनौट गरौं भित्र होस्टहरू.

तपाईंले TLS संस्करण र सम्बन्धित क्रिप्टो मानक आउटपुट भएको देख्न सक्नुहुन्छ। स्तम्भमा सामान्य योजना अनुसार कार्यहरू जाऊ त्यहाँ प्रवाहहरू हेर्नुहोस् र खोज नयाँ ट्याबमा सुरु हुन्छ।

आउटपुटबाट यो देख्न सकिन्छ कि होस्ट 198.19.20.136 अवधिभर 12 घण्टा TLS 1.2 सँग HTTPS प्रयोग गरियो, जहाँ इन्क्रिप्शन एल्गोरिदम एईएस-256 र ह्यास प्रकार्य SHA-384। यसरी, ETA ले तपाईंलाई नेटवर्कमा कमजोर एल्गोरिदमहरू फेला पार्न अनुमति दिन्छ।

4. नेटवर्क विसंगति विश्लेषण

Cisco StealthWatch ले तीन उपकरणहरू प्रयोग गरेर नेटवर्कमा ट्राफिक विसंगतिहरू पहिचान गर्न सक्छ: मुख्य घटनाहरू (सुरक्षा घटनाहरू), सम्बन्ध घटनाक्रम (खण्डहरू, नेटवर्क नोडहरू बीचको अन्तरक्रियाको घटनाहरू) र व्यवहार विश्लेषण.

व्यवहार विश्लेषण, बारीमा, समय संग एक विशेष होस्ट वा होस्ट को समूह को लागी एक व्यवहार मोडेल निर्माण गर्न अनुमति दिन्छ। StealthWatch मार्फत जति धेरै ट्राफिक जान्छ, अधिक सटीक अलर्टहरू यस विश्लेषणको लागि धन्यवाद हुनेछ। सुरुमा, प्रणालीले धेरै गलत रूपमा ट्रिगर गर्दछ, त्यसैले नियमहरू हातले "मोड़" हुनुपर्छ। म सुझाव दिन्छु कि तपाइँ पहिलो केहि हप्ताहरु को लागी यस्ता घटनाहरु लाई बेवास्ता गर्नुहोस्, किनकि प्रणाली आफैं समायोजन हुनेछ, वा अपवाद मा थप्नुहोस्।

तल पूर्वनिर्धारित नियमको उदाहरण हो विसंगति, जसले बताउँछ कि घटना अलार्म बिना फायर हुनेछ यदि Inside Hosts समूहमा रहेको होस्टले Inside Hosts समूहसँग अन्तरक्रिया गर्छ र २४ घण्टाभित्र ट्राफिक १० मेगाबाइटभन्दा बढी हुनेछ.

उदाहरणका लागि, अलार्म लिऔं डाटा होर्डिङ, जसको मतलब केहि स्रोत/गन्तव्य होस्टले होस्ट वा होस्टको समूहबाट असामान्य रूपमा ठूलो मात्रामा डाटा अपलोड/डाउनलोड गरेको छ। घटनामा क्लिक गर्नुहोस् र तालिकामा जानुहोस् जहाँ ट्रिगर होस्टहरू संकेत गरिएको छ। अर्को, हामीले स्तम्भमा रुचि राखेको होस्ट चयन गर्नुहोस् डाटा होर्डिङ.

162k "बिन्दुहरू" पत्ता लगाइएका थिए र नीति अनुसार, 100k "बिन्दुहरू" लाई अनुमति दिइएको छ - यी आन्तरिक StealthWatch मेट्रिकहरू हुन् भनी सङ्केत गर्ने एउटा घटना प्रदर्शित हुन्छ। स्तम्भमा कार्यहरू ।। प्रवाहहरू हेर्नुहोस्.

हामीले त्यो अवलोकन गर्न सक्छौं होस्ट दिइएको छ राति होस्टसँग कुराकानी भयो 10.201.3.47 विभागबाट बिक्री र मार्केटिंग प्रोटोकल द्वारा HTTPS र डाउनलोड गरियो 1.4 जीबी। हुनसक्छ यो उदाहरण पूर्णतया सफल छैन, तर धेरै सय गीगाबाइटहरूका लागि पनि अन्तरक्रियाहरू पत्ता लगाउन ठीक त्यस्तै तरिकाले गरिन्छ। तसर्थ, विसंगतिहरूको थप अनुसन्धानले रोचक नतिजा निम्त्याउन सक्छ।

भन्नु: SMC वेब इन्टरफेसमा, डाटा ट्याबहरूमा छ ड्यासबोर्डहरू गत हप्ता र ट्याबमा मात्र देखाइन्छ मनिटर पछिल्लो २ हप्तामा। पुराना घटनाहरू विश्लेषण गर्न र रिपोर्टहरू उत्पन्न गर्न, तपाईंले प्रशासकको कम्प्युटरमा जाभा कन्सोलसँग काम गर्न आवश्यक छ।

5. आन्तरिक नेटवर्क स्क्यानहरू खोज्दै

अब फिडका केही उदाहरणहरू हेरौं - सूचना सुरक्षा घटनाहरू। यो कार्यक्षमता सुरक्षा पेशेवरहरूको लागि बढी चासोको छ।

StealthWatch मा धेरै प्रिसेट स्क्यान घटना प्रकारहरू छन्:

• पोर्ट स्क्यान - स्रोतले गन्तव्य होस्टमा धेरै पोर्टहरू स्क्यान गर्दछ।
• Addr tcp स्क्यान - स्रोतले एउटै TCP पोर्टमा सम्पूर्ण नेटवर्क स्क्यान गर्दछ, गन्तव्य आईपी ठेगाना परिवर्तन गर्दै। यस अवस्थामा, स्रोतले TCP रिसेट प्याकेटहरू प्राप्त गर्दछ वा प्रतिक्रियाहरू प्राप्त गर्दैन।
• Addr udp स्क्यान - गन्तव्य आईपी ठेगाना परिवर्तन गर्दा स्रोतले एउटै UDP पोर्टमा सम्पूर्ण नेटवर्क स्क्यान गर्दछ। यस अवस्थामा, स्रोतले ICMP पोर्ट पहुँचयोग्य प्याकेटहरू प्राप्त गर्दछ वा प्रतिक्रियाहरू प्राप्त गर्दैन।
• पिंग स्क्यान - स्रोतले उत्तरहरू खोज्नको लागि सम्पूर्ण नेटवर्कमा ICMP अनुरोधहरू पठाउँछ।
• स्टिल्थ स्क्यान tсp/udp - स्रोतले एकै समयमा गन्तव्य नोडमा धेरै पोर्टहरूमा जडान गर्न एउटै पोर्ट प्रयोग गर्‍यो।

सबै आन्तरिक स्क्यानरहरू एकैचोटि फेला पार्न यसलाई थप सुविधाजनक बनाउनको लागि, त्यहाँ नेटवर्क एप छ StealthWatch - दृश्यता मूल्याङ्कन। ट्याबमा जाँदै ड्यासबोर्डहरू → दृश्यता मूल्याङ्कन → आन्तरिक नेटवर्क स्क्यानरहरू तपाईंले पछिल्लो २ हप्ताका लागि स्क्यानिङ-सम्बन्धित सुरक्षा घटनाहरू देख्नुहुनेछ।

बटन थिचेर विवरण, तपाईंले प्रत्येक नेटवर्कको स्क्यानिङको सुरुवात, ट्राफिक प्रवृत्ति र सम्बन्धित अलार्महरू देख्नुहुनेछ।

अर्को, तपाइँ अघिल्लो स्क्रिनसटको ट्याबबाट होस्टमा "असफल" हुन सक्नुहुन्छ र सुरक्षा घटनाहरू, साथै यो होस्टको लागि पछिल्लो हप्ताको गतिविधिहरू हेर्नुहोस्।

उदाहरणको रूपमा, घटनाको विश्लेषण गरौं पोर्ट स्क्यान होस्टबाट 10.201.3.149 मा 10.201.0.72, थिच्दै कार्यहरू > सम्बद्ध प्रवाहहरू। एक थ्रेड खोज सुरु भयो र सान्दर्भिक जानकारी प्रदर्शित हुन्छ।

हामीले यो होस्टलाई यसको एउटा पोर्टबाट कसरी हेर्छौं 51508 / TCP 3 घण्टा पहिले पोर्ट द्वारा गन्तव्य होस्ट स्क्यान गरियो २२, २८, ४२, ४१, ३६, ४० (TCP)। सबै नेटफ्लो क्षेत्रहरू नेटफ्लो निर्यातकर्तामा समर्थित नभएका कारण केही क्षेत्रहरूले जानकारी प्रदर्शन गर्दैनन्।

6. CTA प्रयोग गरेर डाउनलोड गरिएको मालवेयरको विश्लेषण

CTA (संज्ञानात्मक खतरा विश्लेषण) - सिस्को क्लाउड एनालिटिक्स, जसले सिस्को स्टेल्थवाचसँग पूर्ण रूपमा एकीकृत हुन्छ र तपाईंलाई हस्ताक्षर विश्लेषणको साथ हस्ताक्षर-रहित विश्लेषणलाई पूरक गर्न अनुमति दिन्छ। यसले ट्रोजनहरू, नेटवर्क वर्महरू, शून्य-दिन मालवेयर र अन्य मालवेयरहरू पत्ता लगाउन र तिनीहरूलाई नेटवर्क भित्र वितरण गर्न सम्भव बनाउँछ। साथै, पहिले उल्लेख गरिएको ETA प्रविधिले तपाईंलाई इन्क्रिप्टेड ट्राफिकमा त्यस्ता दुर्भावनापूर्ण सञ्चारहरू विश्लेषण गर्न अनुमति दिन्छ।

शाब्दिक रूपमा वेब इन्टरफेसमा पहिलो ट्याबमा एक विशेष विजेट छ संज्ञानात्मक खतरा विश्लेषण। संक्षिप्त सारांशले प्रयोगकर्ता होस्टहरूमा पत्ता लागेको खतराहरूलाई संकेत गर्दछ: ट्रोजन, धोखाधडी सफ्टवेयर, कष्टप्रद एडवेयर। "इन्क्रिप्टेड" शब्दले वास्तवमा ETA को कामलाई संकेत गर्छ। होस्टमा क्लिक गरेर, यसको बारेमा सबै जानकारी, सुरक्षा घटनाहरू, CTA लगहरू सहित, देखा पर्दछ।

CTA को प्रत्येक चरणमा होभर गरेर, घटनाले अन्तरक्रियाको बारेमा विस्तृत जानकारी प्रदर्शन गर्दछ। पूर्ण विश्लेषणको लागि, यहाँ क्लिक गर्नुहोस् घटना विवरण हेर्नुहोस्, र तपाईंलाई छुट्टै कन्सोलमा लगिनेछ संज्ञानात्मक खतरा विश्लेषण.

माथिल्लो दायाँ कुनामा, फिल्टरले तपाईंलाई गम्भीरता स्तरद्वारा घटनाहरू प्रदर्शन गर्न अनुमति दिन्छ। जब तपाइँ एक विशिष्ट विसंगतिमा देखाउनुहुन्छ, लगहरू स्क्रिनको तल दायाँमा सम्बन्धित टाइमलाइनको साथ देखा पर्दछ। यसरी, सूचना सुरक्षा विशेषज्ञले कुन संक्रमित होस्ट, कुन कार्यहरू पछि, कुन कार्यहरू गर्न थालेको स्पष्ट रूपमा बुझ्दछ।

तल अर्को उदाहरण हो - एक बैंकिङ ट्रोजन जसले होस्टलाई संक्रमित गर्यो 198.19.30.36। यो होस्टले खराब डोमेनहरूसँग अन्तरक्रिया गर्न थाल्यो, र लगहरूले यी अन्तरक्रियाहरूको प्रवाहमा जानकारी देखाउँछन्।

अर्को, सबै भन्दा राम्रो समाधानहरू मध्ये एक हो जुन होस्टलाई क्वारेन्टाइनमा राख्नु हो एकीकरण थप उपचार र विश्लेषणको लागि Cisco ISE सँग।

निष्कर्षमा

Cisco StealthWatch समाधान नेटवर्क विश्लेषण र सूचना सुरक्षा को मामला मा नेटवर्क निगरानी उत्पादनहरु बीच एक नेता हो। यसको लागि धन्यवाद, तपाइँ नेटवर्क भित्र अवैध अन्तरक्रियाहरू, अनुप्रयोग ढिलाइहरू, सबैभन्दा सक्रिय प्रयोगकर्ताहरू, विसंगतिहरू, मालवेयर र APTs पत्ता लगाउन सक्नुहुन्छ। यसबाहेक, तपाईंले स्क्यानरहरू, पेन्टेस्टरहरू फेला पार्न सक्नुहुन्छ, र HTTPS ट्राफिकको क्रिप्टो-अडिट सञ्चालन गर्न सक्नुहुन्छ। तपाईले अझ धेरै प्रयोग केसहरू फेला पार्न सक्नुहुन्छ लिङ्क.

यदि तपाइँ तपाइँको नेटवर्कमा सबै चीजहरू कसरी सहज र कुशलतापूर्वक काम गर्दछ भनेर जाँच गर्न चाहनुहुन्छ भने, पठाउनुहोस् बोली.
निकट भविष्यमा, हामी विभिन्न सूचना सुरक्षा उत्पादनहरूमा धेरै प्राविधिक प्रकाशनहरू योजना गर्दैछौं। यदि तपाइँ यस विषयमा रुचि राख्नुहुन्छ भने, हाम्रो च्यानलहरूमा अद्यावधिकहरू पालना गर्नुहोस् (तार, फेसबुक, VK, TS समाधान ब्लग)!

स्रोत: www.habr.com