System do analizy ruchu bez jego deszyfrowania. Ta metoda nazywa się po prostu „uczeniem maszynowym”. Okazało się, że jeśli do specjalnego klasyfikatora podać bardzo dużą ilość różnorodnego ruchu, system z bardzo wysokim prawdopodobieństwem może wykrywać działania złośliwego kodu wewnątrz zaszyfrowanego ruchu.
Zagrożenia sieciowe zmieniły się i stały się „mądrzejsze”. W ostatnim czasie zmieniła się sama koncepcja ataku i ochrony. Liczba zdarzeń w sieci wzrosła wielokrotnie. Ataki stały się bardziej wyrafinowane, a hakerzy mają szerszy zakres ataków.
Według statystyk Cisco, przestępcy w ciągu ostatniego roku trzykrotnie zwiększyli liczbę złośliwych programów, które używają do swojej działalności, a dokładniej do jej ukrywania — szyfrowania. Z teorii wiadomo, że „prawidłowy” algorytm szyfrowania nie może być złamany. Aby zrozumieć, co kryje się wewnątrz zaszyfrowanego ruchu, trzeba go albo deszyfrować znając klucz, albo próbować go deszyfrować różnymi trikami, albo łamać go na siłę, albo wykorzystywać pewne luki w protokołach kryptograficznych.
Obraz zagrożeń sieciowych naszych czasów
Uczenie maszynowe
Poznaj technologię z bliska! Przed omówieniem, jak działa sama technologia deszyfrowania oparta na uczeniu maszynowym, należy rozważyć, jak działa technologia sieci neuronowych.
Uczenie maszynowe (Machine Learning) — to obszerna dziedzina sztucznej inteligencji, badająca metody budowania algorytmów zdolnych do uczenia się. Ta nauka jest ukierunkowana na tworzenie matematycznych modeli „uczenia” komputera. Celem uczenia jest przewidywanie czegokolwiek. W ludzkim rozumieniu nazywamy ten proces słowem „mądrość”. Mądrość ujawnia się u ludzi, którzy przeżyli wystarczająco wiele lat (dwuletnie dziecko nie może być mądre). Zwracając się o radę do starszych kolegów, przekazujemy im pewne informacje o zdarzeniu (dane wejściowe) i prosimy o pomoc. Oni z kolei przypominają sobie wszystkie sytuacje z życia, które mogą być związane z Waszym problemem (baza wiedzy) i na podstawie tej wiedzy (danych) dają nam swoiste przewidywanie (radę). Tego typu porady zaczęto nazywać przewidywaniem, ponieważ osoba udzielająca rady nie wie na pewno, co się wydarzy, a jedynie przypuszcza. Życiowe doświadczenie pokazuje, że człowiek może mieć rację, a może się również pomylić.
Nie ma sensu porównywać sieci neuronowych z algorytmem rozgałęzienia (if-else). To różne rzeczy i istnieją między nimi kluczowe różnice. Algorytm rozgałęzienia ma wyraźne "rozumienie", co należy robić. Zademonstruję to na przykładach.
Zadanie. Określić drogę hamowania samochodu na podstawie jego marki i roku produkcji.
Przykład działania algorytmu rozgałęzienia. Jeśli samochód jest marki 1 i wyprodukowano go w 2012 roku – jego droga hamowania wynosi 10 metrów, w przeciwnym razie, jeśli samochód jest marki 2 i wyprodukowano go w 2011 roku i tak dalej.
Przykład działania sieci neuronowej. Zbieramy dane o drogach hamowania samochodów z ostatnich 20 lat. Na podstawie marki i roku tworzymy tabelę o formacie „marka-rok produkcji-droga hamowania”. Przekazujemy tę tabelę sieci neuronowej i zaczynamy ją uczyć. Uczenie odbywa się w następujący sposób: podajemy dane do sieci neuronowej, ale bez drogi hamowania. Sieć próbuje przewidzieć, jaka będzie droga hamowania na podstawie załadowanej tabeli. Przewiduje coś i zadaje pytanie użytkownikowi „Czy mam rację?”. Przed pytaniem tworzy czwartą kolumnę – kolumnę zgadywania. Jeśli ma rację – wpisuje 1 w czwartej kolumnie, a jeśli się pomyli – 0. Sieć neuronowa przechodzi do następnego zdarzenia (nawet jeśli popełniła błąd). Tak sieć uczy się, a gdy uczenie się kończy (osiągnięty jest określony kryterium zbieżności), podajemy dane o interesującym nas samochodzie i otrzymujemy odpowiedź.
Aby wyjaśnić kwestię kryterium zbieżności, dodam, że to matematycznie wyprowadzone równanie dla statystyki. Wyraźny przykład dwóch różnych formuł zbieżności. Czerwona – zbieżność binarna, niebieska – zbieżność normalna.
Rozkłady binominalne i normalne prawdopodobieństwa
Aby to bardziej zrozumieć, zadawaj pytanie „Jakie jest prawdopodobieństwo spotkania dinozaura?”. Są dwie odpowiedzi. Odpowiedź 1 – bardzo małe (niebieski wykres). Odpowiedź 2 – albo spotkam, albo nie (czerwony wykres).
Oczywiście komputer nie jest człowiekiem i uczy się w inny sposób. Wyróżnia się dwa rodzaje uczenia się maszyny – uczenie się na podstawie przypadków i uczenie dedukcyjne.
Uczenie się na podstawie przypadków to sposób uczenia się według praw matematycznych. Matematycy zbierają tabele statystyczne, wyciągają wnioski i przesyłają wynik do sieci neuronowej – formułę do obliczeń.
Uczenie dedukcyjne – proces uczenia zachodzi całkowicie w sieci neuronowej (od zbierania danych po ich analizę). Powstaje tabela bez formuły, ale ze statystykami.
Szerokie omówienie technologii zajmie jeszcze kilka dziesiątek artykułów. Na razie wystarczy nam to dla ogólnego zrozumienia.
Neuroplastyczność
W biologii istnieje pojęcie – neuroplastyczność. Neuroplastyczność to zdolność neuronów (komórek mózgowych) do działania „w danej sytuacji”. Na przykład, osoba, która straciła wzrok, lepiej słyszy dźwięki, czuje zapachy i odczuwa przedmioty. Dzieje się tak, ponieważ część mózgu (część neuronów) odpowiedzialna za wzrok redistribuuje swoją pracę na inne funkcjonalności.
Wyraźnym przykładem neuroplastyczności w życiu jest lizak BrainPort.
W 2009 roku Uniwersytet Wisconsin-Madison ogłosił wydanie nowego urządzenia rozwijającego idee „interfejsu językowego” – otrzymało nazwę BrainPort. BrainPort działa według takiego algorytmu: sygnał wideo trafia z kamery do procesora, który zarządza powiększeniem, jasnością i innymi parametrami obrazu. Przekształca również sygnały cyfrowe w impulsy elektryczne, faktycznie przejmując funkcje siatkówki.
Lizak BrainPort z okularami i kamerą
BrainPort w działaniu
Podobnie jest z komputerem. Jeśli sieć neuronowa odczuwa zmianę w procesie, dostosowuje się do niej. W tym leży kluczowa zaleta sieci neuronowych w porównaniu do innych algorytmów – autonomiczność. Rodzaj człowieczeństwa.
Analiza szyfrowanego ruchu
Analiza Ruchu Zaszyfrowanego jest częścią systemu Stealthwatch. Stealthwatch to rozwiązanie opracowane przez firmę Cisco w obszarze monitorowania i analizy bezpieczeństwa, które wykorzystuje dane telemetryczne z istniejącej infrastruktury sieciowej.
Podstawą Stealthwatch Enterprise są narzędzia Flow Rate License, Flow Collector, Management Console i Flow Sensor.
Interfejs Cisco Stealthwatch
Problem z szyfrowaniem stał się bardzo pilny, ponieważ coraz więcej ruchu zaczęto szyfrować. Wcześniej szyfrowano głównie kod, teraz szyfrowany jest cały ruch, a oddzielenie "czystych" danych od wirusów stało się znacznie trudniejsze. Jaskrawym przykładem jest WannaCry, który używał Tora do ukrywania swojej obecności w sieci.
Wizualizacja wzrostu liczby szyfrowanego ruchu w sieci
Szyfrowanie w makroekonomii
System Encrypted Traffic Analytics (ETA) jest niezbędny do pracy z szyfrowanym ruchem bez jego deszyfrowania. Cyberprzestępcy są inteligentni i stosują algorytmy szyfrowania odpornych na ataki, a ich złamanie nie tylko stanowi problem, ale również generuje ogromne koszty dla organizacji.
System działa w następujący sposób. Do firmy dociera jakiś ruch. Wchodzi on w TLS (transport layer security - protokół zabezpieczeń warstwy transportowej). Załóżmy, że ruch jest szyfrowany. Staramy się odpowiedzieć na szereg pytań dotyczących nawiązania połączenia.
Zasada działania systemu Encrypted Traffic Analytics (ETA)
Aby odpowiedzieć na te pytania, wykorzystujemy w tym systemie uczenie maszynowe. Na podstawie badań firmy Cisco tworzymy tabelę z 2 wynikami - złośliwy i „dobry” ruch. Oczywiście, nie wiemy na pewno, jaki ruch znalazł się w systemie w danym momencie, ale możemy prześledzić historię ruchu zarówno w firmie, jak i poza nią, korzystając z danych z globalnej areny. Na wyjściu z tego etapu otrzymujemy ogromną tabelę z danymi.
Na podstawie badań ujawniane są charakterystyczne cechy – określone zasady, które można zapisać w postaci matematycznej. Te zasady znacznie się różnią w zależności od różnych kryteriów – rozmiaru przesyłanych plików, rodzaju połączenia, kraju, z którego pochodzi dany ruch itp. W wyniku prac ogromna tabela przekształciła się w zbiór wielu formuł. Jest ich mniej, ale to wciąż za mało dla komfortowej pracy.
Następnie zastosowana jest technologia uczenia maszynowego – zbieżność formuły i na podstawie tej zbieżności uzyskujemy wyzwalacz – przełącznik, gdzie przy wyjściu danych otrzymujemy wyłącznik (flaga) w pozycji podniesionej lub opuszczonej.
Ostateczny etap – uzyskanie zestawu wyzwalaczy, które pokryły 99% ruchu.
Etapy weryfikacji ruchu w ETA
W wyniku prac rozwiązany jest jeszcze jeden problem – atak od wewnątrz. Nie ma już potrzeby angażowania ludzi do ręcznej filtracji ruchu (w tym momencie to trochę podkopuję sam siebie). Po pierwsze, nie trzeba już wydawać dużych pieniędzy na kompetentnego administratora systemu (ciągle podkopuję samego siebie). Po drugie, nie ma ryzyka włamania od wewnątrz (przynajmniej częściowo).
Przestarzała koncepcja Man-in-the-Middle
Teraz porozmawiajmy, na czym opiera się system.
System działa na 4 protokołach komunikacyjnych: TCP/IP – protokół transmisji danych w internecie, DNS – serwer nazw domenowych, TLS – protokół zabezpieczenia warstwy transportowej, SPLT (SpaceWire Physical Layer Tester) – tester fizycznej warstwy komunikacji.
Protokoły działające z ETA
Porównanie odbywa się poprzez dopasowanie danych. W przypadku protokołu TCP/IP sprawdzana jest reputacja stron (historia odwiedzin, cel utworzenia strony itp.); dzięki protokołowi DNS możemy odrzucić „złe” adresy stron. Protokół TLS pracuje z „odciskami” strony (fingerprint) i sprawdza stronę w bazie komputerowej grupy reagowania na sytuacje kryzysowe (cert). Ostatni etap weryfikacji połączenia to sprawdzenie na poziomie fizycznym. Szczegóły działania tego etapu nie są omawiane, ale jego sens polega na tym: sprawdzenie sinusoid i cosinusoid krzywych transmisji danych na instalacjach oscylograficznych, tzn. dzięki strukturze zapytania na poziomie fizycznym określamy cel połączenia.
W wyniku działania systemu możemy uzyskać dane z zaszyfrowanego ruchu. Dzięki analizie pakietów możemy odczytać maksimum informacji z niezaszyfrowanych pól w samym pakiecie. Poprzez inspekcję pakietu na poziomie fizycznym dowiadujemy się o charakterystykach pakietu (częściowo lub w całości). Nie należy również zapominać o reputacji stron. Jeśli zapytanie pochodzi z jakiegoś źródła .onion, nie należy mu ufać. Dla uproszczenia pracy z tego rodzaju danymi stworzono mapę ryzyk.
Wynik działania ETA
I wszystko wydaje się w porządku, ale porozmawiajmy o wdrażaniu sieci.
Fizyczna realizacja ETA
Tutaj pojawia się szereg niuansów i subtelności. Po pierwsze, przy tworzeniu tego rodzaju
sieci z oprogramowaniem wysokiego poziomu konieczne jest zbieranie danych. Ręczne zbieranie danych jest całkowicie
dzikie, a wdrożenie systemu reagowania – już bardziej interesujące. Po drugie, danych
musi być wiele, co oznacza, że zainstalowane czujniki sieci muszą działać
nie tylko autonomicznie, ale także w wysoce dostosowanym trybie, co stwarza szereg trudności.
Czujniki i system Stealthwatch
Zainstalowanie czujnika to jedno, a jego skonfigurowanie to zupełnie inny problem. W celu konfiguracji czujników istnieje kompleks działający w następującej topologii – ISR = router z integracją usług Cisco (Cisco Integrated Services Router); ASR = router z agregacją usług Cisco (Cisco Aggregation Services Router); CSR = chmurowy router usług Cisco (Cisco Cloud Services Router); WLC = kontroler bezprzewodowych sieci lokalnych Cisco (Cisco Wireless LAN Controller); IE = przemysłowy przełącznik Ethernet Cisco (Cisco Industrial Ethernet); ASA = urządzenie adaptacyjnej ochrony Cisco (Cisco Adaptive Security Appliance); FTD = rozwiązanie do ochrony przed zagrożeniami Cisco Firepower Threat Defense; WSA = urządzenie zabezpieczające ruch internetowy (Web Security Appliance); ISE = moduł usług tożsamości (Identity Services Engine)
Kompleksowe monitorowanie uwzględniające wszelkie dane telemetryczne
U administratorów sieci zaczyna brakować rytmu z powodu ilości słów „Cisco” w poprzednim akapicie. Cena tego cudu jest nie mała, ale nie o tym dzisiaj...
Modelowanie zachowań hakerów będzie przebiegać w następujący sposób. Stealthwatch dokładnie monitoruje aktywność każdego urządzenia w sieci i jest w stanie stworzyć wzór normalnego zachowania. Ponadto to rozwiązanie zapewnia głębokie zrozumienie znanych nieprawidłowych zachowań. W ramach tego rozwiązania wykorzystuje się około 100 różnych algorytmów analizy lub reguł heurystycznych, które dotyczą różnych typów zachowań ruchu, takich jak skanowanie, przesyłanie komunikatów alarmowych z węzła, logowanie się za pomocą ataków brute force, przypuszczalne przechwytywanie danych, przypuszczalne wycieki danych itp. Wymienione wydarzenia bezpieczeństwa kwalifikują się do kategorii logicznych alarmów wysokiego poziomu. Niektóre wydarzenia bezpieczeństwa mogą także same w sobie wywołać alarm. W ten sposób system jest w stanie skorelować liczne izolowane anomalia incydentów i zebrać je w całość, aby określić możliwy typ ataku, a także powiązać go z konkretnym urządzeniem i użytkownikiem (rysunek 2). Incydent można później analizować w dynamice, uwzględniając związane dane telemetryczne. To tworzy kontekstowe informacje w najlepszym wydaniu. Lekarze badający pacjenta, aby zrozumieć, co się stało, nie analizują objawów osobno. Badali ogólny obraz, aby postawić diagnozę. Podobnie Stealthwatch rejestruje każdą anormalną aktywność w sieci i bada ją w całości, aby wysyłać alarmy uwzględniające kontekst, co z kolei pomaga specjalistom ds. bezpieczeństwa ustalać priorytety ryzyka.
Wykrywanie anomalii za pomocą modelowania zachowań
Fizyczne wdrożenie sieci wygląda następująco:
Opcja wdrożenia sieci w biurze (uproszczona)
Opcja wdrożenia sieci biurowej
Sieć została wdrożona, ale pozostaje otwarte pytanie dotyczące sieci neuronowej. Zorganizowano sieć przesyłania danych, zainstalowano czujniki na progach i uruchomiono system zbierania informacji, ale sieć neuronowa na razie nie brała udziału w działaniu.
Wielowarstwowa sieć neuronowa
System analizuje zachowanie użytkownika i urządzenia, aby wykryć złośliwe infekcje, komunikacje z serwerami dowodzenia, wycieki danych, a także potencjalnie niepożądane aplikacje działające w infrastrukturze organizacji. Istnieje kilka poziomów przetwarzania danych, w których połączenie metod sztucznej inteligencji, uczenia maszynowego i statystyki matematycznej pomaga sieci samouczyć się jej normalnej aktywności, aby mogła identyfikować złośliwą aktywność.
Kolejka analizy bezpieczeństwa sieci, która zbiera dane telemetryczne z wszystkich części rozbudowanej sieci, w tym zaszyfrowany ruch, jest unikalną cechą Stealthwatch. Krok po kroku buduje zrozumienie tego, co jest „anomalią”, następnie klasyfikuje konkretne elementy „zagrożenia” i w końcu podejmuje ostateczną decyzję, czy urządzenie lub użytkownik rzeczywiście zostali skompromitowani. Zdolność do zbierania małych fragmentów, które razem tworzą dowód do podjęcia ostatecznej decyzji o kompromitacji obiektu, zapewniana jest dzięki bardzo starannej analizie i korelacji.
Ta zdolność ma ogromne znaczenie, ponieważ standardowe przedsiębiorstwo może codziennie otrzymywać ogromną liczbę alarmów, a przeprowadzenie dochodzenia w każdym przypadku jest niemożliwe – zasoby specjalistów ds. bezpieczeństwa są ograniczone. Moduł uczenia maszynowego przetwarza ogromną ilość informacji praktycznie w czasie rzeczywistym, aby wykrywać krytyczne incydenty z wysokim poziomem pewności oraz potrafi proponować jasne kroki działania w celu szybkiego usunięcia problemów.
Przyjrzyjmy się bliżej licznym metodom uczenia maszynowego stosowanym w Stealthwatch. Kiedy incydent jest przekazywany do modułu uczenia maszynowego Stealthwatch, przechodzi przez lejek analizy bezpieczeństwa, w ramach którego stosowane jest połączenie metod uczenia maszynowego z nauczycielem i bez nauczyciela.
Możliwości wielopoziomowego uczenia maszynowego
Poziom 1. Wykrywanie anomalii i modelowanie zaufania
Na tym poziomie 99% ruchu jest odrzucane za pomocą statystycznych detektorów anomalii. Wskazane sensory wspólnie tworzą złożone modele tego, co jest normalne, a co z kolei jest anormalne. Jednak anormalne nie musi oznaczać złośliwego. Wiele z tego, co dzieje się w twojej sieci, nie ma nic wspólnego z zagrożeniem — po prostu jest dziwne. Warto jednak klasyfikować takie procesy niezależnie od zachowania uznawanego za groźne. Z tego powodu wyniki pracy takich detektorów przechodzą dalszą analizę, aby zarejestrować dziwne zachowanie, które można jednocześnie wytłumaczyć i któremu można zaufać. Ostatecznie tylko mały odsetek najważniejszych przepływów i zapytań przechodzi na poziomy 2 i 3. Bez zastosowania tych metod uczenia maszynowego koszty operacyjne związane z oddzielaniem sygnału od szumu byłyby zbyt wysokie.
Wykrywanie anomalii. Na pierwszym etapie wykrywania anomalii stosuje się statystyczne metody uczenia maszynowego, aby oddzielić statystycznie normalny ruch od anormalnego. Ponad 70 oddzielnych detektorów przetwarza dane telemetrii zbierane przez Stealthwatch o ruchu, który przechodzi przez perimeter twojej sieci, oddzielając wewnętrzny ruch systemu nazw domenowych (DNS) oraz dane z proxy, jeśli takowe istnieją. Każde zapytanie jest przetwarzane przez więcej niż 70 detektorów, przy czym każdy detektor używa swojego statystycznego algorytmu, tworząc ocenę wykrytych anomalii. Takie oceny są łączone, a w wyniku zastosowania wielu metod statystycznych powstaje jedna ocena dla każdego pojedynczego zapytania. Następnie ta zbiorcza ocena jest używana do oddzielania normalnego ruchu od anormalnego.
Modelowanie zaufania. Następnie podobne zapytania są grupowane, a łączna ocena anomalii dla takich grup ustalana jest jako długoterminowa średnia. Z czasem do analizy, a następnie do określenia długoterminowej średniej, poddawane są kolejne zapytania, co pozwala na zredukowanie liczby fałszywie pozytywnych i fałszywie negatywnych wyników. Wyniki modelowania zaufania są wykorzystywane do wybrania podzbioru ruchu, którego ocena anomalii przekracza określoną dynamicznie wartość progową, aby przenieść go na następny poziom przetwarzania.
Poziom 2. Klasyfikacja zdarzeń i modelowanie obiektu
Na tym poziomie następuje klasyfikacja wyników uzyskanych na wcześniejszych etapach, przypisując je do konkretnych złośliwych zdarzeń. Klasyfikacja zdarzeń odbywa się na podstawie wartości przypisanej przez klasyfikatory uczenia maszynowego w celu zapewnienia stałego wskaźnika dokładności powyżej 90%. W ich skład wchodzą:
- modele liniowe oparte na lemie Neymana-Pearsona (prawo rozkładu normalnego z wykresu na początku artykułu)
- maszyny wektorów nośnych wykorzystujące uczenie wielowymiarowe
- sieci neuronowe oraz algorytm „losowy las”.
Następnie takie wyizolowane zdarzenia bezpieczeństwa łączone są w czasie z jednym urządzeniem końcowym. To na tym etapie powstaje opis zagrożenia, na podstawie którego tworzony jest pełny obraz tego, jak odpowiedni intruz osiągnął konkretne wyniki.
Klasyfikacja zdarzeń. Statystycznie anomalny podzbiór z poprzedniego poziomu jest rozdzielany na 100 i więcej kategorii przy użyciu klasyfikatorów. Większość klasyfikatorów opiera się na indywidualnym zachowaniu, relacjach w grupie lub zachowaniu w skali globalnej lub lokalnej, podczas gdy inne mogą być dość specyficzne. Na przykład klasyfikator może wskazywać na ruch serwerów dowodzenia, podejrzane rozszerzenie lub nieautoryzowaną aktualizację oprogramowania. W wyniku tego etapu powstaje zestaw anomalii w systemie bezpieczeństwa, przypisanych do określonych kategorii.
Modelowanie obiektu. Jeśli ilość dowodów wspierających hipotezę o szkodliwości danego obiektu przekracza próg istotności, określana jest groźba. Odpowiednie zdarzenia, które wpłynęły na określenie groźby, są powiązane z tą groźbą i stają się częścią dyskretnego, długoterminowego modelu obiektu. W miarę gromadzenia dowodów w czasie, system określa nowe groźby po osiągnięciu progu istotności. Próg ten ma charakter dynamiczny i przechodzi inteligentną korektę w oparciu o poziom ryzyka wystąpienia groźby oraz inne czynniki. Następnie groźba pojawia się na panelu informacyjnym interfejsu sieciowego i przechodzi na kolejny poziom.
Poziom 3. Modelowanie relacji
Celem modelowania relacji jest syntezowanie wyników uzyskanych na wcześniejszych poziomach z globalnego punktu widzenia, uwzględniając nie tylko lokalny, ale i globalny kontekst danego incydentu. Właśnie na tym etapie możesz określić, ile organizacji miało do czynienia z takim atakiem, aby zrozumieć, czy był on skierowany konkretnie przeciwko tobie, czy stanowi część globalnej kampanii, a ty po prostu znalazłeś się 'w nieodpowiednim miejscu o nieodpowiednim czasie.'
Incydenty są potwierdzane lub wykrywane. Potwierdzony incydent oznacza od 99 do 100% pewności, ponieważ odpowiednie metody i narzędzia były wcześniej obserwowane w działaniu w większej (globalnej) skali. Wykryte incydenty są unikalne dla ciebie i stanowią część wąsko ukierunkowanej kampanii. Uzyskane wcześniej wyniki są przekazywane z wskazaniem znanego porządku działań, co pozwala zaoszczędzić czas i zasoby podczas reakcji. Są one dostarczane wraz z narzędziami dochodzeniowymi, które będą ci potrzebne, by zrozumieć, kto cię zaatakował oraz jaka jest intensywność kampanii skierowanej na twój cyfrowy biznes. Jak możesz sobie wyobrazić, liczba potwierdzonych incydentów znacznie przewyższa liczbę wykrytych z prostej przyczyny: potwierdzone incydenty nie wiążą się z dużymi kosztami dla przestępców, podczas gdy wykryte incydenty są kosztowne.
kosztowne, ponieważ muszą być nowe i spersonalizowane. Dzięki stworzeniu możliwości identyfikacji potwierdzonych incydentów, ekonomia gry w końcu przesunęła się na korzyść obrońców, dając im pewną przewagę.
Wielopoziomowe uczenie się systemu sieci neuronowej opartego na ETA
Globalna mapa ryzyk
Globalna mapa ryzyk powstaje w wyniku analizy, którą stosują algorytmy uczenia maszynowego na jednym z największych zbiorów danych w branży. Zapewnia ona obszerne dane statystyczne o zachowaniu serwerów w Internecie, nawet jeśli są one nieznane. Takie serwery mogą być związane z atakami, mogą być wykorzystywane lub używane w ramach przyszłych ataków. To nie jest 'czarna lista', lecz kompleksowy obraz badanego serwera z perspektywy bezpieczeństwa. Takie informacje o działalności wskazanych serwerów, dostarczone z uwzględnieniem kontekstu, pozwalają detektorom i klasyfikatorom uczenia maszynowego Stealthwatch precyzyjnie przewidywać poziom ryzyka związanego z komunikacją z takimi serwerami.
Można zobaczyć dostępne mapy .
Mapa świata pokazująca 460 milionów adresów IP
Teraz sieć uczy się i staje na straży Twojej sieci.
Czy w końcu znaleziono panaceum?
Niestety, nie. Z doświadczenia z systemem mogę powiedzieć, że istnieją 2 globalne problemy.
Problem 1. Cena. Cała sieć jest zbudowana na systemie Cisco. To ma swoje zalety i wady. Dobrą stroną jest to, że nie musisz się martwić i instalować mnóstwa przekaźników typu D-Link, MikroTik itd. Minusem jest ogromny koszt systemu. Biorąc pod uwagę sytuację ekonomiczną w rosyjskim biznesie, w obecnej chwili na to cudo stać tylko zamożnego właściciela dużej firmy lub banku.
Problem 2. Uczenie. Nie napisałem w artykule o czasie uczenia się sieci neuronowej, ale nie dlatego, że go nie ma, lecz dlatego, że cały czas się uczy i nie możemy przewidzieć, kiedy się nauczy. Oczywiście istnieją narzędzia statystyki matematycznej (weźmy chociażby formułę kryterium zbieżności Pearsona), ale to tylko półśrodki. Otrzymujemy prawdopodobieństwo filtrowania ruchu, i to pod warunkiem, że atak jest już znany i opanowany.
Pomimo tych dwóch problemów zrobiliśmy ogromny postęp w rozwoju bezpieczeństwa informacyjnego jako całości oraz ochrony sieci w szczególności. Fakt ten może stanowić motywację do nauki technologii sieciowych i sieci neuronowych, które obecnie są bardzo obiecującym kierunkiem.
Źródło: habr.com
