{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analiza zaszyfrowanego ruchu bez jego deszyfrowania","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

System do analizy ruchu bez jego deszyfrowania. Ta metoda nazywa si\u0119 po prostu \u201euczeniem maszynowym\u201d. Okaza\u0142o si\u0119, \u017ce je\u015bli do specjalnego klasyfikatora poda\u0107 bardzo du\u017c\u0105 ilo\u015b\u0107 r\u00f3\u017cnorodnego ruchu, system z bardzo wysokim prawdopodobie\u0144stwem mo\u017ce wykrywa\u0107 dzia\u0142ania z\u0142o\u015bliwego kodu wewn\u0105trz zaszyfrowanego ruchu.<\/p>\n

<\/p>\n

\"Analiza<\/p>\n

<\/a><\/noindex><\/p>\n

Zagro\u017cenia sieciowe zmieni\u0142y si\u0119 i sta\u0142y si\u0119 \u201em\u0105drzejsze\u201d. W ostatnim czasie zmieni\u0142a si\u0119 sama koncepcja ataku i ochrony. Liczba zdarze\u0144 w sieci wzros\u0142a wielokrotnie. Ataki sta\u0142y si\u0119 bardziej wyrafinowane, a hakerzy maj\u0105 szerszy zakres atak\u00f3w.<\/p>\n

<\/p>\n

Wed\u0142ug statystyk Cisco, przest\u0119pcy w ci\u0105gu ostatniego roku trzykrotnie zwi\u0119kszyli liczb\u0119 z\u0142o\u015bliwych program\u00f3w, kt\u00f3re u\u017cywaj\u0105 do swojej dzia\u0142alno\u015bci, a dok\u0142adniej do jej ukrywania \u2014 szyfrowania. Z teorii wiadomo, \u017ce \u201eprawid\u0142owy\u201d algorytm szyfrowania nie mo\u017ce by\u0107 z\u0142amany. Aby zrozumie\u0107, co kryje si\u0119 wewn\u0105trz zaszyfrowanego ruchu, trzeba go albo deszyfrowa\u0107 znaj\u0105c klucz, albo pr\u00f3bowa\u0107 go deszyfrowa\u0107 r\u00f3\u017cnymi trikami, albo \u0142ama\u0107 go na si\u0142\u0119, albo wykorzystywa\u0107 pewne luki w protoko\u0142ach kryptograficznych.<\/p>\n

<\/p>\n

\"Analiza
\nObraz zagro\u017ce\u0144 sieciowych naszych czas\u00f3w<\/em><\/p>\n

<\/p>\n

Uczenie maszynowe<\/h3>\n

<\/p>\n

Poznaj technologi\u0119 z bliska! Przed om\u00f3wieniem, jak dzia\u0142a sama technologia deszyfrowania oparta na uczeniu maszynowym, nale\u017cy rozwa\u017cy\u0107, jak dzia\u0142a technologia sieci neuronowych.<\/p>\n

<\/p>\n

Uczenie maszynowe (Machine Learning) \u2014 to obszerna dziedzina sztucznej inteligencji, badaj\u0105ca metody budowania algorytm\u00f3w zdolnych do uczenia si\u0119. Ta nauka jest ukierunkowana na tworzenie matematycznych modeli \u201euczenia\u201d komputera. Celem uczenia jest przewidywanie czegokolwiek. W ludzkim rozumieniu nazywamy ten proces s\u0142owem \u201em\u0105dro\u015b\u0107\u201d<\/em>. M\u0105dro\u015b\u0107 ujawnia si\u0119 u ludzi, kt\u00f3rzy prze\u017cyli wystarczaj\u0105co wiele lat (dwuletnie dziecko nie mo\u017ce by\u0107 m\u0105dre). Zwracaj\u0105c si\u0119 o rad\u0119 do starszych koleg\u00f3w, przekazujemy im pewne informacje o zdarzeniu (dane wej\u015bciowe) i prosimy o pomoc. Oni z kolei przypominaj\u0105 sobie wszystkie sytuacje z \u017cycia, kt\u00f3re mog\u0105 by\u0107 zwi\u0105zane z Waszym problemem (baza wiedzy) i na podstawie tej wiedzy (danych) daj\u0105 nam swoiste przewidywanie (rad\u0119). Tego typu porady zacz\u0119to nazywa\u0107 przewidywaniem, poniewa\u017c osoba udzielaj\u0105ca rady nie wie na pewno, co si\u0119 wydarzy, a jedynie przypuszcza. \u017byciowe do\u015bwiadczenie pokazuje, \u017ce cz\u0142owiek mo\u017ce mie\u0107 racj\u0119, a mo\u017ce si\u0119 r\u00f3wnie\u017c pomyli\u0107.<\/p>\n

<\/p>\n

Nie ma sensu por\u00f3wnywa\u0107 sieci neuronowych z algorytmem rozga\u0142\u0119zienia (if-else). To r\u00f3\u017cne rzeczy i istniej\u0105 mi\u0119dzy nimi kluczowe r\u00f3\u017cnice. Algorytm rozga\u0142\u0119zienia ma wyra\u017ane \"rozumienie\", co nale\u017cy robi\u0107. Zademonstruj\u0119 to na przyk\u0142adach.<\/p>\n

<\/p>\n

Zadanie. Okre\u015bli\u0107 drog\u0119 hamowania samochodu na podstawie jego marki i roku produkcji.<\/p>\n

<\/p>\n

Przyk\u0142ad dzia\u0142ania algorytmu rozga\u0142\u0119zienia. Je\u015bli samoch\u00f3d jest marki 1 i wyprodukowano go w 2012 roku \u2013 jego droga hamowania wynosi 10 metr\u00f3w, w przeciwnym razie, je\u015bli samoch\u00f3d jest marki 2 i wyprodukowano go w 2011 roku i tak dalej.<\/p>\n

<\/p>\n

Przyk\u0142ad dzia\u0142ania sieci neuronowej. Zbieramy dane o drogach hamowania samochod\u00f3w z ostatnich 20 lat. Na podstawie marki i roku tworzymy tabel\u0119 o formacie \u201emarka-rok produkcji-droga hamowania\u201d. Przekazujemy t\u0119 tabel\u0119 sieci neuronowej i zaczynamy j\u0105 uczy\u0107. Uczenie odbywa si\u0119 w nast\u0119puj\u0105cy spos\u00f3b: podajemy dane do sieci neuronowej, ale bez drogi hamowania. Sie\u0107 pr\u00f3buje przewidzie\u0107, jaka b\u0119dzie droga hamowania na podstawie za\u0142adowanej tabeli. Przewiduje co\u015b i zadaje pytanie u\u017cytkownikowi \u201eCzy mam racj\u0119?\u201d. Przed pytaniem tworzy czwart\u0105 kolumn\u0119 \u2013 kolumn\u0119 zgadywania. Je\u015bli ma racj\u0119 \u2013 wpisuje 1 w czwartej kolumnie, a je\u015bli si\u0119 pomyli \u2013 0. Sie\u0107 neuronowa przechodzi do nast\u0119pnego zdarzenia (nawet je\u015bli pope\u0142ni\u0142a b\u0142\u0105d). Tak sie\u0107 uczy si\u0119, a gdy uczenie si\u0119 ko\u0144czy (osi\u0105gni\u0119ty jest okre\u015blony kryterium zbie\u017cno\u015bci), podajemy dane o interesuj\u0105cym nas samochodzie i otrzymujemy odpowied\u017a.<\/p>\n

<\/p>\n

Aby wyja\u015bni\u0107 kwesti\u0119 kryterium zbie\u017cno\u015bci, dodam, \u017ce to matematycznie wyprowadzone r\u00f3wnanie dla statystyki. Wyra\u017any przyk\u0142ad dw\u00f3ch r\u00f3\u017cnych formu\u0142 zbie\u017cno\u015bci. Czerwona \u2013 zbie\u017cno\u015b\u0107 binarna, niebieska \u2013 zbie\u017cno\u015b\u0107 normalna.<\/p>\n

<\/p>\n

\"Analiza
\nRozk\u0142ady binominalne i normalne prawdopodobie\u0144stwa<\/em><\/p>\n

<\/p>\n

Aby to bardziej zrozumie\u0107, zadawaj pytanie \u201eJakie jest prawdopodobie\u0144stwo spotkania dinozaura?\u201d. S\u0105 dwie odpowiedzi. Odpowied\u017a 1 \u2013 bardzo ma\u0142e (niebieski wykres). Odpowied\u017a 2 \u2013 albo spotkam, albo nie (czerwony wykres).<\/p>\n

<\/p>\n

Oczywi\u015bcie komputer nie jest cz\u0142owiekiem i uczy si\u0119 w inny spos\u00f3b. Wyr\u00f3\u017cnia si\u0119 dwa rodzaje uczenia si\u0119 maszyny \u2013 uczenie si\u0119 na podstawie przypadk\u00f3w<\/strong> i uczenie dedukcyjne<\/strong>.<\/p>\n

<\/p>\n

Uczenie si\u0119 na podstawie przypadk\u00f3w to spos\u00f3b uczenia si\u0119 wed\u0142ug praw matematycznych. Matematycy zbieraj\u0105 tabele statystyczne, wyci\u0105gaj\u0105 wnioski i przesy\u0142aj\u0105 wynik do sieci neuronowej \u2013 formu\u0142\u0119 do oblicze\u0144.<\/p>\n

<\/p>\n

Uczenie dedukcyjne \u2013 proces uczenia zachodzi ca\u0142kowicie w sieci neuronowej (od zbierania danych po ich analiz\u0119). Powstaje tabela bez formu\u0142y, ale ze statystykami.<\/p>\n

<\/p>\n

Szerokie om\u00f3wienie technologii zajmie jeszcze kilka dziesi\u0105tek artyku\u0142\u00f3w. Na razie wystarczy nam to dla og\u00f3lnego zrozumienia.<\/p>\n

<\/p>\n

Neuroplastyczno\u015b\u0107<\/h3>\n

<\/p>\n

W biologii istnieje poj\u0119cie \u2013 neuroplastyczno\u015b\u0107. Neuroplastyczno\u015b\u0107 to zdolno\u015b\u0107 neuron\u00f3w (kom\u00f3rek m\u00f3zgowych) do dzia\u0142ania \u201ew danej sytuacji\u201d. Na przyk\u0142ad, osoba, kt\u00f3ra straci\u0142a wzrok, lepiej s\u0142yszy d\u017awi\u0119ki, czuje zapachy i odczuwa przedmioty. Dzieje si\u0119 tak, poniewa\u017c cz\u0119\u015b\u0107 m\u00f3zgu (cz\u0119\u015b\u0107 neuron\u00f3w) odpowiedzialna za wzrok redistribuuje swoj\u0105 prac\u0119 na inne funkcjonalno\u015bci.<\/p>\n

<\/p>\n

Wyra\u017anym przyk\u0142adem neuroplastyczno\u015bci w \u017cyciu jest lizak BrainPort.<\/p>\n

<\/p>\n

W 2009 roku Uniwersytet Wisconsin-Madison og\u0142osi\u0142 wydanie nowego urz\u0105dzenia rozwijaj\u0105cego idee \u201einterfejsu j\u0119zykowego\u201d \u2013 otrzyma\u0142o nazw\u0119 BrainPort. BrainPort dzia\u0142a wed\u0142ug takiego algorytmu: sygna\u0142 wideo trafia z kamery do procesora, kt\u00f3ry zarz\u0105dza powi\u0119kszeniem, jasno\u015bci\u0105 i innymi parametrami obrazu. Przekszta\u0142ca r\u00f3wnie\u017c sygna\u0142y cyfrowe w impulsy elektryczne, faktycznie przejmuj\u0105c funkcje siatk\u00f3wki.<\/p>\n

<\/p>\n

\"Analiza
\nLizak BrainPort z okularami i kamer\u0105<\/em><\/p>\n

<\/p>\n

\"Analiza
\nBrainPort w dzia\u0142aniu<\/em><\/p>\n

\n

\r\n \"Odtwarzaj\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Podobnie jest z komputerem. Je\u015bli sie\u0107 neuronowa odczuwa zmian\u0119 w procesie, dostosowuje si\u0119 do niej. W tym le\u017cy kluczowa zaleta sieci neuronowych w por\u00f3wnaniu do innych algorytm\u00f3w \u2013 autonomiczno\u015b\u0107. Rodzaj cz\u0142owiecze\u0144stwa.<\/p>\n

<\/p>\n

Analiza szyfrowanego ruchu<\/h3>\n

<\/p>\n

Analiza Ruchu Zaszyfrowanego jest cz\u0119\u015bci\u0105 systemu Stealthwatch. Stealthwatch to rozwi\u0105zanie opracowane przez firm\u0119 Cisco w obszarze monitorowania i analizy bezpiecze\u0144stwa, kt\u00f3re wykorzystuje dane telemetryczne z istniej\u0105cej infrastruktury sieciowej.<\/p>\n

<\/p>\n

Podstaw\u0105 Stealthwatch Enterprise s\u0105 narz\u0119dzia Flow Rate License, Flow Collector, Management Console i Flow Sensor.<\/p>\n

<\/p>\n

\"Analiza
\nInterfejs Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Problem z szyfrowaniem sta\u0142 si\u0119 bardzo pilny, poniewa\u017c coraz wi\u0119cej ruchu zacz\u0119to szyfrowa\u0107. Wcze\u015bniej szyfrowano g\u0142\u00f3wnie kod, teraz szyfrowany jest ca\u0142y ruch, a oddzielenie \"czystych\" danych od wirus\u00f3w sta\u0142o si\u0119 znacznie trudniejsze. Jaskrawym przyk\u0142adem jest WannaCry, kt\u00f3ry u\u017cywa\u0142 Tora do ukrywania swojej obecno\u015bci w sieci.<\/p>\n

<\/p>\n

\"Analiza
\nWizualizacja wzrostu liczby szyfrowanego ruchu w sieci<\/em><\/p>\n

<\/p>\n

\"Analiza
\nSzyfrowanie w makroekonomii<\/em><\/p>\n

<\/p>\n

System Encrypted Traffic Analytics (ETA) jest niezb\u0119dny do pracy z szyfrowanym ruchem bez jego deszyfrowania. Cyberprzest\u0119pcy s\u0105 inteligentni i stosuj\u0105 algorytmy szyfrowania odpornych na ataki, a ich z\u0142amanie nie tylko stanowi problem, ale r\u00f3wnie\u017c generuje ogromne koszty dla organizacji.<\/p>\n

<\/p>\n

System dzia\u0142a w nast\u0119puj\u0105cy spos\u00f3b. Do firmy dociera jaki\u015b ruch. Wchodzi on w TLS (transport layer security - protok\u00f3\u0142 zabezpiecze\u0144 warstwy transportowej). Za\u0142\u00f3\u017cmy, \u017ce ruch jest szyfrowany. Staramy si\u0119 odpowiedzie\u0107 na szereg pyta\u0144 dotycz\u0105cych nawi\u0105zania po\u0142\u0105czenia.<\/p>\n

<\/p>\n

\"Analiza
\nZasada dzia\u0142ania systemu Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Aby odpowiedzie\u0107 na te pytania, wykorzystujemy w tym systemie uczenie maszynowe. Na podstawie bada\u0144 firmy Cisco tworzymy tabel\u0119 z 2 wynikami - z\u0142o\u015bliwy i \u201edobry\u201d ruch. Oczywi\u015bcie, nie wiemy na pewno, jaki ruch znalaz\u0142 si\u0119 w systemie w danym momencie, ale mo\u017cemy prze\u015bledzi\u0107 histori\u0119 ruchu zar\u00f3wno w firmie, jak i poza ni\u0105, korzystaj\u0105c z danych z globalnej areny. Na wyj\u015bciu z tego etapu otrzymujemy ogromn\u0105 tabel\u0119 z danymi.<\/p>\n

<\/p>\n

Na podstawie bada\u0144 ujawniane s\u0105 charakterystyczne cechy \u2013 okre\u015blone zasady, kt\u00f3re mo\u017cna zapisa\u0107 w postaci matematycznej. Te zasady znacznie si\u0119 r\u00f3\u017cni\u0105 w zale\u017cno\u015bci od r\u00f3\u017cnych kryteri\u00f3w \u2013 rozmiaru przesy\u0142anych plik\u00f3w, rodzaju po\u0142\u0105czenia, kraju, z kt\u00f3rego pochodzi dany ruch itp. W wyniku prac ogromna tabela przekszta\u0142ci\u0142a si\u0119 w zbi\u00f3r wielu formu\u0142. Jest ich mniej, ale to wci\u0105\u017c za ma\u0142o dla komfortowej pracy.<\/p>\n

<\/p>\n

Nast\u0119pnie zastosowana jest technologia uczenia maszynowego \u2013 zbie\u017cno\u015b\u0107 formu\u0142y i na podstawie tej zbie\u017cno\u015bci uzyskujemy wyzwalacz \u2013 prze\u0142\u0105cznik, gdzie przy wyj\u015bciu danych otrzymujemy wy\u0142\u0105cznik (flaga) w pozycji podniesionej lub opuszczonej.<\/p>\n

<\/p>\n

Ostateczny etap \u2013 uzyskanie zestawu wyzwalaczy, kt\u00f3re pokry\u0142y 99% ruchu.<\/p>\n

<\/p>\n

\"Analiza
\nEtapy weryfikacji ruchu w ETA<\/em><\/p>\n

<\/p>\n

W wyniku prac rozwi\u0105zany jest jeszcze jeden problem \u2013 atak od wewn\u0105trz. Nie ma ju\u017c potrzeby anga\u017cowania ludzi do r\u0119cznej filtracji ruchu (w tym momencie to troch\u0119 podkopuj\u0119 sam siebie). Po pierwsze, nie trzeba ju\u017c wydawa\u0107 du\u017cych pieni\u0119dzy na kompetentnego administratora systemu (ci\u0105gle podkopuj\u0119 samego siebie). Po drugie, nie ma ryzyka w\u0142amania od wewn\u0105trz (przynajmniej cz\u0119\u015bciowo).<\/p>\n

<\/p>\n

\"Analiza
\nPrzestarza\u0142a koncepcja Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Teraz porozmawiajmy, na czym opiera si\u0119 system.<\/p>\n

<\/p>\n

System dzia\u0142a na 4 protoko\u0142ach komunikacyjnych: TCP\/IP \u2013 protok\u00f3\u0142 transmisji danych w internecie, DNS \u2013 serwer nazw domenowych, TLS \u2013 protok\u00f3\u0142 zabezpieczenia warstwy transportowej, SPLT (SpaceWire Physical Layer Tester) \u2013 tester fizycznej warstwy komunikacji.<\/p>\n

<\/p>\n

\"Analiza
\nProtoko\u0142y dzia\u0142aj\u0105ce z ETA<\/em><\/p>\n

<\/p>\n

Por\u00f3wnanie odbywa si\u0119 poprzez dopasowanie danych. W przypadku protoko\u0142u TCP\/IP sprawdzana jest reputacja stron (historia odwiedzin, cel utworzenia strony itp.); dzi\u0119ki protoko\u0142owi DNS mo\u017cemy odrzuci\u0107 \u201ez\u0142e\u201d adresy stron. Protok\u00f3\u0142 TLS pracuje z \u201eodciskami\u201d strony (fingerprint) i sprawdza stron\u0119 w bazie komputerowej grupy reagowania na sytuacje kryzysowe (cert). Ostatni etap weryfikacji po\u0142\u0105czenia to sprawdzenie na poziomie fizycznym. Szczeg\u00f3\u0142y dzia\u0142ania tego etapu nie s\u0105 omawiane, ale jego sens polega na tym: sprawdzenie sinusoid i cosinusoid krzywych transmisji danych na instalacjach oscylograficznych, tzn. dzi\u0119ki strukturze zapytania na poziomie fizycznym okre\u015blamy cel po\u0142\u0105czenia.<\/p>\n

<\/p>\n

W wyniku dzia\u0142ania systemu mo\u017cemy uzyska\u0107 dane z zaszyfrowanego ruchu. Dzi\u0119ki analizie pakiet\u00f3w mo\u017cemy odczyta\u0107 maksimum informacji z niezaszyfrowanych p\u00f3l w samym pakiecie. Poprzez inspekcj\u0119 pakietu na poziomie fizycznym dowiadujemy si\u0119 o charakterystykach pakietu (cz\u0119\u015bciowo lub w ca\u0142o\u015bci). Nie nale\u017cy r\u00f3wnie\u017c zapomina\u0107 o reputacji stron. Je\u015bli zapytanie pochodzi z jakiego\u015b \u017ar\u00f3d\u0142a .onion, nie nale\u017cy mu ufa\u0107. Dla uproszczenia pracy z tego rodzaju danymi stworzono map\u0119 ryzyk.<\/p>\n

<\/p>\n

\"Analiza
\nWynik dzia\u0142ania ETA<\/em><\/p>\n

<\/p>\n

I wszystko wydaje si\u0119 w porz\u0105dku, ale porozmawiajmy o wdra\u017caniu sieci.<\/p>\n

<\/p>\n

Fizyczna realizacja ETA<\/h3>\n

<\/p>\n

Tutaj pojawia si\u0119 szereg niuans\u00f3w i subtelno\u015bci. Po pierwsze, przy tworzeniu tego rodzaju
\nsieci z oprogramowaniem wysokiego poziomu konieczne jest zbieranie danych. R\u0119czne zbieranie danych jest ca\u0142kowicie
\ndzikie, a wdro\u017cenie systemu reagowania \u2013 ju\u017c bardziej interesuj\u0105ce. Po drugie, danych
\nmusi by\u0107 wiele, co oznacza, \u017ce zainstalowane czujniki sieci musz\u0105 dzia\u0142a\u0107
\nnie tylko autonomicznie, ale tak\u017ce w wysoce dostosowanym trybie, co stwarza szereg trudno\u015bci.<\/p>\n

<\/p>\n

\"Analiza
\nCzujniki i system Stealthwatch<\/em><\/p>\n

<\/p>\n

Zainstalowanie czujnika to jedno, a jego skonfigurowanie to zupe\u0142nie inny problem. W celu konfiguracji czujnik\u00f3w istnieje kompleks dzia\u0142aj\u0105cy w nast\u0119puj\u0105cej topologii \u2013 ISR = router z integracj\u0105 us\u0142ug Cisco (Cisco Integrated Services Router); ASR = router z agregacj\u0105 us\u0142ug Cisco (Cisco Aggregation Services Router); CSR = chmurowy router us\u0142ug Cisco (Cisco Cloud Services Router); WLC = kontroler bezprzewodowych sieci lokalnych Cisco (Cisco Wireless LAN Controller); IE = przemys\u0142owy prze\u0142\u0105cznik Ethernet Cisco (Cisco Industrial Ethernet); ASA = urz\u0105dzenie adaptacyjnej ochrony Cisco (Cisco Adaptive Security Appliance); FTD = rozwi\u0105zanie do ochrony przed zagro\u017ceniami Cisco Firepower Threat Defense; WSA = urz\u0105dzenie zabezpieczaj\u0105ce ruch internetowy (Web Security Appliance); ISE = modu\u0142 us\u0142ug to\u017csamo\u015bci (Identity Services Engine)<\/p>\n

<\/p>\n

\"Analiza
\nKompleksowe monitorowanie uwzgl\u0119dniaj\u0105ce wszelkie dane telemetryczne<\/em><\/p>\n

<\/p>\n

U administrator\u00f3w sieci zaczyna brakowa\u0107 rytmu z powodu ilo\u015bci s\u0142\u00f3w \u201eCisco\u201d w poprzednim akapicie. Cena tego cudu jest nie ma\u0142a, ale nie o tym dzisiaj...<\/p>\n

<\/p>\n

Modelowanie zachowa\u0144 haker\u00f3w b\u0119dzie przebiega\u0107 w nast\u0119puj\u0105cy spos\u00f3b. Stealthwatch dok\u0142adnie monitoruje aktywno\u015b\u0107 ka\u017cdego urz\u0105dzenia w sieci i jest w stanie stworzy\u0107 wz\u00f3r normalnego zachowania. Ponadto to rozwi\u0105zanie zapewnia g\u0142\u0119bokie zrozumienie znanych nieprawid\u0142owych zachowa\u0144. W ramach tego rozwi\u0105zania wykorzystuje si\u0119 oko\u0142o 100 r\u00f3\u017cnych algorytm\u00f3w analizy lub regu\u0142 heurystycznych, kt\u00f3re dotycz\u0105 r\u00f3\u017cnych typ\u00f3w zachowa\u0144 ruchu, takich jak skanowanie, przesy\u0142anie komunikat\u00f3w alarmowych z w\u0119z\u0142a, logowanie si\u0119 za pomoc\u0105 atak\u00f3w brute force, przypuszczalne przechwytywanie danych, przypuszczalne wycieki danych itp. Wymienione wydarzenia bezpiecze\u0144stwa kwalifikuj\u0105 si\u0119 do kategorii logicznych alarm\u00f3w wysokiego poziomu. Niekt\u00f3re wydarzenia bezpiecze\u0144stwa mog\u0105 tak\u017ce same w sobie wywo\u0142a\u0107 alarm. W ten spos\u00f3b system jest w stanie skorelowa\u0107 liczne izolowane anomalia incydent\u00f3w i zebra\u0107 je w ca\u0142o\u015b\u0107, aby okre\u015bli\u0107 mo\u017cliwy typ ataku, a tak\u017ce powi\u0105za\u0107 go z konkretnym urz\u0105dzeniem i u\u017cytkownikiem (rysunek 2). Incydent mo\u017cna p\u00f3\u017aniej analizowa\u0107 w dynamice, uwzgl\u0119dniaj\u0105c zwi\u0105zane dane telemetryczne. To tworzy kontekstowe informacje w najlepszym wydaniu. Lekarze badaj\u0105cy pacjenta, aby zrozumie\u0107, co si\u0119 sta\u0142o, nie analizuj\u0105 objaw\u00f3w osobno. Badali og\u00f3lny obraz, aby postawi\u0107 diagnoz\u0119. Podobnie Stealthwatch rejestruje ka\u017cd\u0105 anormaln\u0105 aktywno\u015b\u0107 w sieci i bada j\u0105 w ca\u0142o\u015bci, aby wysy\u0142a\u0107 alarmy uwzgl\u0119dniaj\u0105ce kontekst, co z kolei pomaga specjalistom ds. bezpiecze\u0144stwa ustala\u0107 priorytety ryzyka.<\/p>\n

<\/p>\n

\"Analiza
\nWykrywanie anomalii za pomoc\u0105 modelowania zachowa\u0144<\/em><\/p>\n

<\/p>\n

Fizyczne wdro\u017cenie sieci wygl\u0105da nast\u0119puj\u0105co:<\/p>\n

<\/p>\n

\"Analiza
\nOpcja wdro\u017cenia sieci w biurze (uproszczona)<\/em><\/p>\n

<\/p>\n

\"Analiza
\nOpcja wdro\u017cenia sieci biurowej<\/em><\/p>\n

<\/p>\n

Sie\u0107 zosta\u0142a wdro\u017cona, ale pozostaje otwarte pytanie dotycz\u0105ce sieci neuronowej. Zorganizowano sie\u0107 przesy\u0142ania danych, zainstalowano czujniki na progach i uruchomiono system zbierania informacji, ale sie\u0107 neuronowa na razie nie bra\u0142a udzia\u0142u w dzia\u0142aniu.<\/p>\n

<\/p>\n

Wielowarstwowa sie\u0107 neuronowa<\/h3>\n

<\/p>\n

System analizuje zachowanie u\u017cytkownika i urz\u0105dzenia, aby wykry\u0107 z\u0142o\u015bliwe infekcje, komunikacje z serwerami dowodzenia, wycieki danych, a tak\u017ce potencjalnie niepo\u017c\u0105dane aplikacje dzia\u0142aj\u0105ce w infrastrukturze organizacji. Istnieje kilka poziom\u00f3w przetwarzania danych, w kt\u00f3rych po\u0142\u0105czenie metod sztucznej inteligencji, uczenia maszynowego i statystyki matematycznej pomaga sieci samouczy\u0107 si\u0119 jej normalnej aktywno\u015bci, aby mog\u0142a identyfikowa\u0107 z\u0142o\u015bliw\u0105 aktywno\u015b\u0107.<\/p>\n

<\/p>\n

Kolejka analizy bezpiecze\u0144stwa sieci, kt\u00f3ra zbiera dane telemetryczne z wszystkich cz\u0119\u015bci rozbudowanej sieci, w tym zaszyfrowany ruch, jest unikaln\u0105 cech\u0105 Stealthwatch. Krok po kroku buduje zrozumienie tego, co jest \u201eanomali\u0105\u201d, nast\u0119pnie klasyfikuje konkretne elementy \u201ezagro\u017cenia\u201d i w ko\u0144cu podejmuje ostateczn\u0105 decyzj\u0119, czy urz\u0105dzenie lub u\u017cytkownik rzeczywi\u015bcie zostali skompromitowani. Zdolno\u015b\u0107 do zbierania ma\u0142ych fragment\u00f3w, kt\u00f3re razem tworz\u0105 dow\u00f3d do podj\u0119cia ostatecznej decyzji o kompromitacji obiektu, zapewniana jest dzi\u0119ki bardzo starannej analizie i korelacji.<\/p>\n

<\/p>\n

Ta zdolno\u015b\u0107 ma ogromne znaczenie, poniewa\u017c standardowe przedsi\u0119biorstwo mo\u017ce codziennie otrzymywa\u0107 ogromn\u0105 liczb\u0119 alarm\u00f3w, a przeprowadzenie dochodzenia w ka\u017cdym przypadku jest niemo\u017cliwe \u2013 zasoby specjalist\u00f3w ds. bezpiecze\u0144stwa s\u0105 ograniczone. Modu\u0142 uczenia maszynowego przetwarza ogromn\u0105 ilo\u015b\u0107 informacji praktycznie w czasie rzeczywistym, aby wykrywa\u0107 krytyczne incydenty z wysokim poziomem pewno\u015bci oraz potrafi proponowa\u0107 jasne kroki dzia\u0142ania w celu szybkiego usuni\u0119cia problem\u00f3w.<\/p>\n

<\/p>\n

Przyjrzyjmy si\u0119 bli\u017cej licznym metodom uczenia maszynowego stosowanym w Stealthwatch. Kiedy incydent jest przekazywany do modu\u0142u uczenia maszynowego Stealthwatch, przechodzi przez lejek analizy bezpiecze\u0144stwa, w ramach kt\u00f3rego stosowane jest po\u0142\u0105czenie metod uczenia maszynowego z nauczycielem i bez nauczyciela.<\/p>\n

<\/p>\n

\"Analiza
\nMo\u017cliwo\u015bci wielopoziomowego uczenia maszynowego<\/em><\/p>\n

<\/p>\n

Poziom 1. Wykrywanie anomalii i modelowanie zaufania<\/h3>\n

<\/p>\n

Na tym poziomie 99% ruchu jest odrzucane za pomoc\u0105 statystycznych detektor\u00f3w anomalii. Wskazane sensory wsp\u00f3lnie tworz\u0105 z\u0142o\u017cone modele tego, co jest normalne, a co z kolei jest anormalne. Jednak anormalne nie musi oznacza\u0107 z\u0142o\u015bliwego. Wiele z tego, co dzieje si\u0119 w twojej sieci, nie ma nic wsp\u00f3lnego z zagro\u017ceniem \u2014 po prostu jest dziwne. Warto jednak klasyfikowa\u0107 takie procesy niezale\u017cnie od zachowania uznawanego za gro\u017ane. Z tego powodu wyniki pracy takich detektor\u00f3w przechodz\u0105 dalsz\u0105 analiz\u0119, aby zarejestrowa\u0107 dziwne zachowanie, kt\u00f3re mo\u017cna jednocze\u015bnie wyt\u0142umaczy\u0107 i kt\u00f3remu mo\u017cna zaufa\u0107. Ostatecznie tylko ma\u0142y odsetek najwa\u017cniejszych przep\u0142yw\u00f3w i zapyta\u0144 przechodzi na poziomy 2 i 3. Bez zastosowania tych metod uczenia maszynowego koszty operacyjne zwi\u0105zane z oddzielaniem sygna\u0142u od szumu by\u0142yby zbyt wysokie.<\/p>\n

<\/p>\n

Wykrywanie anomalii.<\/strong> Na pierwszym etapie wykrywania anomalii stosuje si\u0119 statystyczne metody uczenia maszynowego, aby oddzieli\u0107 statystycznie normalny ruch od anormalnego. Ponad 70 oddzielnych detektor\u00f3w przetwarza dane telemetrii zbierane przez Stealthwatch o ruchu, kt\u00f3ry przechodzi przez perimeter twojej sieci, oddzielaj\u0105c wewn\u0119trzny ruch systemu nazw domenowych (DNS) oraz dane z proxy, je\u015bli takowe istniej\u0105. Ka\u017cde zapytanie jest przetwarzane przez wi\u0119cej ni\u017c 70 detektor\u00f3w, przy czym ka\u017cdy detektor u\u017cywa swojego statystycznego algorytmu, tworz\u0105c ocen\u0119 wykrytych anomalii. Takie oceny s\u0105 \u0142\u0105czone, a w wyniku zastosowania wielu metod statystycznych powstaje jedna ocena dla ka\u017cdego pojedynczego zapytania. Nast\u0119pnie ta zbiorcza ocena jest u\u017cywana do oddzielania normalnego ruchu od anormalnego.<\/p>\n

<\/p>\n

Modelowanie zaufania.<\/strong> Nast\u0119pnie podobne zapytania s\u0105 grupowane, a \u0142\u0105czna ocena anomalii dla takich grup ustalana jest jako d\u0142ugoterminowa \u015brednia. Z czasem do analizy, a nast\u0119pnie do okre\u015blenia d\u0142ugoterminowej \u015bredniej, poddawane s\u0105 kolejne zapytania, co pozwala na zredukowanie liczby fa\u0142szywie pozytywnych i fa\u0142szywie negatywnych wynik\u00f3w. Wyniki modelowania zaufania s\u0105 wykorzystywane do wybrania podzbioru ruchu, kt\u00f3rego ocena anomalii przekracza okre\u015blon\u0105 dynamicznie warto\u015b\u0107 progow\u0105, aby przenie\u015b\u0107 go na nast\u0119pny poziom przetwarzania.<\/p>\n

<\/p>\n

Poziom 2. Klasyfikacja zdarze\u0144 i modelowanie obiektu<\/h3>\n

<\/p>\n

Na tym poziomie nast\u0119puje klasyfikacja wynik\u00f3w uzyskanych na wcze\u015bniejszych etapach, przypisuj\u0105c je do konkretnych z\u0142o\u015bliwych zdarze\u0144. Klasyfikacja zdarze\u0144 odbywa si\u0119 na podstawie warto\u015bci przypisanej przez klasyfikatory uczenia maszynowego w celu zapewnienia sta\u0142ego wska\u017anika dok\u0142adno\u015bci powy\u017cej 90%. W ich sk\u0142ad wchodz\u0105:<\/p>\n

<\/p>\n