é uma solução de análise em segurança da informação que proporciona monitoramento abrangente de ameaças em uma rede distribuída. O funcionamento do StealthWatch baseia-se na coleta de NetFlow e IPFIX de roteadores, switches e outros dispositivos de rede. Como resultado, a rede se torna um sensor sensível, permitindo que o administrador veja o que métodos de proteção de rede tradicionais, como o Next Generation Firewall, não conseguem acessar.
Em artigos anteriores, já escrevi sobre o StealthWatch: , além de . Agora, proponho avançar e discutir como lidar com alarmes e investigar incidentes de segurança gerados pela solução. Serão apresentados 6 exemplos que, espero, oferecerão uma boa compreensão da utilidade do produto.
Primeiramente, é importante dizer que no StealthWatch há uma certa distribuição entre acionamentos de algoritmos e feeds. Os primeiros são diversos tipos de alarmes (notificações), cujo disparo pode indicar atividades suspeitas na rede. Os segundos se referem a incidentes de segurança. Neste artigo, examinaremos 4 exemplos de acionamentos de algoritmos e 2 exemplos de feeds.
1. Análise das interações mais volumosas dentro da rede
O primeiro passo na configuração do StealthWatch é a definição de hosts e redes por grupos. Na interface web, a aba Configure > Gestão de Grupos de Hosts deve ser usada para classificar redes, hosts e servidores em grupos apropriados. Grupos personalizados também podem ser criados. Vale mencionar que a análise das interações entre hosts no Cisco StealthWatch é bastante conveniente, pois é possível não apenas salvar filtros de busca por fluxos, mas também os resultados.
Para começar, na interface web, acesse a aba Analyze > Pesquisa de Fluxo. Em seguida, defina os seguintes parâmetros:
- Tipo de Pesquisa — Top Conversations (as interações mais populares)
- Intervalo de Tempo — 24 horas (o intervalo pode ser ajustado)
- Nome da Pesquisa — Top Conversations Inside-Inside (qualquer nome claro)
- Assunto — Grupos de Hosts → Hosts Internos (origem — grupo de nós internos)
- Conexão (é possível especificar portas, aplicativos)
- Peer — Grupos de Hosts → Hosts Internos (destino — grupo de nós internos)
- Nas Opções Avançadas, é possível especificar o coletor de onde os dados são visualizados, além da ordenação da saída (por bytes, fluxos e outros). Vou deixar o padrão.
Após clicar no botão Pesquisar é exibida uma lista de interações que já estão ordenadas pelo volume de dados transmitidos.
No meu exemplo, o host 10.150.1.201 (servidor) em um único fluxo transmitiu 1,5 GB de tráfego para o host 10.150.1.200 (cliente) pelo protocolo mysql. O botão Gerenciar Colunas permite adicionar mais colunas nos dados exibidos.
Em seguida, a critério do administrador, pode-se criar uma regra personalizada que será acionada constantemente para esse tipo de interação e notificar via SNMP, email ou Syslog.
2. Análise das interações cliente-servidor mais lentas dentro da rede para verificar latências
Etiquetas SRT (Server Response Time), RTT (Round Trip Time) ajudam a identificar as latências dos servidores e latências gerais na rede. Essa ferramenta é especialmente útil quando é necessário encontrar rapidamente a causa das reclamações dos usuários sobre aplicativos lentos.
Nota: praticamente todos os exportadores Netflow não conseguem enviar etiquetas SRT, RTT, portanto, muitas vezes, para visualizar esses dados no FlowSensor é necessário configurar o envio de uma cópia do tráfego dos dispositivos de rede. O FlowSensor, por sua vez, fornece IPFIX estendido ao FlowCollector.
É mais conveniente realizar essa análise no aplicativo java StealthWatch, que é instalado no computador do administrador.
Clique com o botão direito em Hosts Internos e vá para a aba Tabela de Fluxo.
Clique em Filtro e defina os parâmetros necessários. Como exemplo:
- Data/Hora — Para os últimos 3 dias
- Desempenho — Média do Tempo de Ida e Volta >= 50ms
Após a exibição dos dados, deve-se adicionar os campos RTT e SRT que nos interessam. Para isso, basta clicar na coluna da captura de tela e, com o botão direito, escolher Gerenciar Colunas. Em seguida, clique nos parâmetros RTT e SRT.
Após processar a solicitação, classifiquei por média de RTT e vi as interações mais lentas.
Para acessar informações detalhadas, clique com o botão direito no fluxo e escolha Visualização Rápida do Fluxo.
Essas informações indicam que o host 10.201.3.59 do grupo Vendas e Marketing pelo protocolo NFS acessa o servidor DNS durante um minuto e 23 segundos e tem uma latência extremamente alta. Na aba Interfaces é possível descobrir de qual exportador Netflow as informações foram obtidas. Na aba Tabela estão representadas informações mais detalhadas sobre a interação.
A seguir, é importante descobrir quais dispositivos estão enviando tráfego para o FlowSensor, e o problema provavelmente está lá.
Além disso, o StealthWatch é único porque realiza deduplicação de dados (combina fluxos idênticos). Portanto, é possível coletar praticamente de todos os dispositivos Netflow, sem se preocupar com dados repetidos. Na verdade, isso ajuda a entender em qual hop existem maiores latências.
3. Auditoria de protocolos criptográficos HTTPS
ETA (Encrypted Traffic Analytics) é uma tecnologia desenvolvida pela Cisco que permite detectar conexões maliciosas em tráfego criptografado sem precisar descriptografá-lo. Além disso, essa tecnologia permite "analisar" o HTTPS nas versões TLS e protocolos criptográficos utilizados nas conexões. Essa funcionalidade é especialmente útil quando é necessário identificar nós de rede que utilizam padrões criptográficos fracos.
Nota: primeiramente, deve-se instalar o aplicativo de rede no StealthWatch — Auditoria Criptográfica ETA.
Vamos à aba Dashboards → Auditoria Criptográfica ETA e selecionamos o grupo de hosts que se pretende analisar. Para uma visão geral, escolhemos Hosts Internos.
É possível observar que a versão TLS e o correspondente padrão criptográfico são exibidos. Seguindo o padrão usual, na coluna Ações vamos em Ver Fluxos e a busca começa em uma nova aba.
Da saída, é possível ver que o host 198.19.20.136 por um período de 12 horas usou HTTPS com TLS 1.2, onde o algoritmo de criptografia AES-256 e a função hash SHA-384. Portanto, a ETA permite encontrar algoritmos fracos na rede.
4. Análise de anomalias na rede
Cisco StealthWatch é capaz de reconhecer anomalias de tráfego na rede, utilizando três ferramentas: Eventos Principais (eventos de segurança), Eventos de Relacionamento (eventos de interações entre segmentos, nós da rede) e análise comportamental.
A análise comportamental, por sua vez, permite construir ao longo do tempo um modelo de comportamento para um determinado host ou grupo de hosts. Quanto mais tráfego passar pelo StealthWatch, mais precisos serão os acionamentos graças a essa análise. Inicialmente, o sistema pode gerar muitos acionamentos errôneos, por isso as regras devem ser ajustadas manualmente. Recomendo que nas primeiras semanas não se preste atenção a esses eventos, pois o sistema se ajustará sozinho, ou então adicionar às exceções.
Abaixo segue um exemplo de regra pré-configurada Anomalia, que afirma que o evento será acionado sem alarme se o host no grupo Inside Hosts interagir com o grupo Inside Hosts e, em 24 horas, o tráfego exceder 10 megabytes.
Por exemplo, vamos considerar um alarme Data Hoarding, que significa que algum host de origem/destino carregou/baixou uma quantidade anormalmente grande de dados do grupo de hosts ou do host. Clicamos no evento e acessamos a tabela que lista os hosts que dispararam. Em seguida, selecionamos o host de nosso interesse na coluna Data Hoarding.
O evento é exibido, indicando que foram detectados 162k “pontos”, enquanto a política permite 100k “pontos” — são métricas internas do StealthWatch. Na coluna Ações clicamos Ver Fluxos.
Podemos observar que este host interagiu durante a noite com o host 10.201.3.47 do departamento Sales & Marketing pelo protocolo HTTPS e baixou 1,4 Gb. Este exemplo pode não ser o mais adequado, mas a detecção de interações de várias centenas de gigabytes é realizada da mesma maneira. Portanto, uma investigação mais aprofundada de anomalias pode levar a resultados interessantes.
Nota: na interface web do SMC, os dados nas abas Dashboards são exibidos apenas para a última semana e na aba Monitor para as últimas 2 semanas. Para analisar eventos mais antigos e para gerar relatórios, é necessário trabalhar com o console Java no computador do administrador.
5. Identificação de varreduras internas de rede
Agora vejamos alguns exemplos de feeds — incidentes de segurança da informação. Essa funcionalidade é mais interessante para os profissionais de segurança.
Existem vários tipos de eventos de varredura predefinidos no StealthWatch:
- Port Scan — o originador escaneia várias portas do nó de destino.
- Addr tcp scan — o originador escaneia toda uma rede em uma única porta TCP, mudando, nesse processo, o endereço IP de destino. O originador pode receber pacotes TCP Reset ou não receber respostas de forma alguma.
- Addr udp scan — o originador escaneia toda uma rede em uma única porta UDP, mudando, nesse processo, o endereço IP de destino. O originador pode receber pacotes ICMP Port Unreachable ou não receber respostas de forma alguma.
- Ping Scan — o originador envia solicitações ICMP para toda uma rede em busca de respostas.
- Stealth Scan tcp/udp — o originador usou sua mesma porta para se conectar a várias portas no nó de destino ao mesmo tempo.
Para encontrar todos os scanners internos de forma mais prática, existe um aplicativo de rede para StealthWatch — Avaliação de VisibilidadeVá para a aba Dashboards → Avaliação de Visibilidade → Scanners de Rede Interna você verá os incidentes de segurança relacionados à varredura, nos últimos 14 dias.
Clicando no botão Detalhes, será possível visualizar o início da varredura de cada rede, a tendência de tráfego e os alarmes correspondentes.
Em seguida, você pode “aprofundar-se” no host a partir da aba na captura de tela anterior e ver os eventos de segurança, bem como a atividade da última semana para esse host.
Como exemplo, analisaremos o evento Varredura de Porta do host 10.201.3.149 para 10.201.0.72, clicando em Ações > Fluxos Associados. Uma busca nos fluxos é iniciada e as informações relevantes são exibidas.
Como podemos ver, esse host, a partir de uma de suas portas 51508/TCP varreu 3 horas atrás o host de destino nas portas 22, 28, 42, 41, 36, 40 (TCP).Alguns campos não mostram informações, seja porque nem todos os campos Netflow são suportados no exportador de Netflow.
6. Análise de malwares baixados usando o CTA
CTA (Análise Cognitiva de Ameaças) é uma análise em nuvem da Cisco que se integra bem com o Cisco StealthWatch e permite complementar a análise sem assinatura com análise baseada em assinatura. Assim, é possível detectar trojans, vermes de rede, malwares de dia zero e outras ameaças, bem como sua propagação dentro da rede. A tecnologia anteriormente mencionada, ETA, também permite analisar essas comunicações maliciosas em tráfego criptografado.
Na primeira aba da interface web, há um widget especial Análise Cognitiva de Ameaças.Um resumo breve informa sobre as ameaças detectadas em hosts de usuários: trojans, software fraudulento, adware. A palavra “Criptografado” indica o funcionamento da ETA. Clicando no host, você verá todas as informações, incluindo eventos de segurança e logs do CTA.
Ao passar o mouse sobre cada etapa do CTA, informações detalhadas sobre a interação são exibidas. Para uma análise completa, vale a pena clicar em Ver Detalhes do Incidente, e você será direcionado para um console separado. Análise Cognitiva de Ameaças..
No canto superior direito, o filtro permite exibir eventos por nível de criticidade. Ao passar o mouse sobre uma anomalia específica, os logs com a linha do tempo correspondente aparecem na parte inferior da tela. Assim, o especialista da área de segurança da informação entende claramente qual host infectado começou a realizar quais ações após determinadas atividades.
Abaixo está mais um exemplo — um trojan bancário, que infectou o host. 198.19.30.36Este host começou a interagir com domínios maliciosos, e os logs mostram informações sobre os fluxos dessas interações.
Uma das melhores soluções que pode haver é colocar o host em quarentena graças à integração nativa A solução Cisco StealthWatch é uma das líderes entre os produtos de monitoramento de rede, tanto em termos de análise de rede quanto de segurança da informação. Com ela, é possível detectar interações ilegítimas dentro da rede, latências de aplicativos, os usuários mais ativos, anomalias, malwares e APTs. Além disso, é possível identificar varreduras, pentesters e realizar auditoria criptográfica do tráfego HTTPS. Mais casos de uso podem ser encontrados em
Conclusão
Se você deseja verificar quão bem e eficientemente sua rede está funcionando, envie .
Em breve, planejamos mais algumas publicações técnicas sobre vários produtos de segurança da informação. Se você se interessa por esse tema, fique de olho em nossas atualizações em nossos canais ( .
4. NGFW para pequenas empresas. VPN, , , )!
Fonte: habr.com
