{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"An\u00e1lise de tr\u00e1fego criptografado sem sua descriptografia","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Sistema de an\u00e1lise de tr\u00e1fego sem a sua decodifica\u00e7\u00e3o. Este m\u00e9todo \u00e9 simplesmente chamado de 'aprendizado de m\u00e1quina'. Descobriu-se que, se um classificador especial for alimentado com um grande volume de tr\u00e1fego diversificado, o sistema pode detectar com alta probabilidade as a\u00e7\u00f5es do c\u00f3digo malicioso dentro do tr\u00e1fego criptografado.<\/p>\n

<\/p>\n

\"An\u00e1lise<\/p>\n

<\/a><\/noindex><\/p>\n

As amea\u00e7as de rede mudaram e se tornaram 'mais inteligentes'. Nos \u00faltimos tempos, a pr\u00f3pria concep\u00e7\u00e3o de ataque e defesa se alterou. O n\u00famero de eventos na rede aumentou exponencialmente. Os ataques se tornaram mais sofisticados e os hackers agora t\u00eam um alcance maior em suas investidas.<\/p>\n

<\/p>\n

De acordo com estat\u00edsticas da Cisco, os criminosos aumentaram em 3 vezes o n\u00famero de programas maliciosos que utilizam para suas atividades, ou mais especificamente, para ocult\u00e1-las \u2014 atrav\u00e9s da criptografia. Na teoria, sabe-se que um \u2018algoritmo\u2019 de criptografia 'correto' n\u00e3o pode ser quebrado. Para entender o que est\u00e1 oculto dentro do tr\u00e1fego criptografado, \u00e9 necess\u00e1rio ou decifr\u00e1-lo conhecendo a chave, ou tentar decifr\u00e1-lo por meio de v\u00e1rias artimanhas, ou quebr\u00e1-lo diretamente, ou explorar vulnerabilidades em protocolos criptogr\u00e1ficos.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nO panorama das amea\u00e7as de rede em nosso tempo<\/em><\/p>\n

<\/p>\n

Aprendizado de M\u00e1quina<\/h3>\n

<\/p>\n

Conhe\u00e7a a tecnologia a fundo! Antes de falarmos sobre como funciona a pr\u00f3pria tecnologia de decodifica\u00e7\u00e3o baseada em aprendizado de m\u00e1quina, \u00e9 necess\u00e1rio entender como funciona a tecnologia das redes neurais.<\/p>\n

<\/p>\n

O aprendizado de m\u00e1quina (Machine Learning) \u00e9 uma vasta sub\u00e1rea da intelig\u00eancia artificial que estuda m\u00e9todos para construir algoritmos capazes de aprender. Esta ci\u00eancia tem como objetivo criar modelos matem\u00e1ticos para o 'aprendizado' dos computadores. O objetivo do aprendizado \u00e9 prever algo. Em termos humanos, chamamos esse processo de \u2018sabedoria\u2019<\/em>. A sabedoria se manifesta em pessoas que viveram muitos anos (uma crian\u00e7a de 2 anos n\u00e3o pode ser s\u00e1bia). Ao pedir conselho a colegas mais velhos, fornecemos a eles alguma informa\u00e7\u00e3o sobre o evento (dados de entrada) e pedimos ajuda. Eles, por sua vez, lembram de todas as situa\u00e7\u00f5es da vida que est\u00e3o de alguma forma relacionadas ao seu problema (base de conhecimento) e, com base nesses conhecimentos (dados), nos oferecem uma esp\u00e9cie de predi\u00e7\u00e3o (conselho). Esse tipo de conselho foi chamado de predi\u00e7\u00e3o porque a pessoa que d\u00e1 o conselho n\u00e3o sabe com certeza o que vai acontecer, apenas sup\u00f5e. A experi\u00eancia de vida demonstra que a pessoa pode estar certa, mas tamb\u00e9m pode errar.<\/p>\n

<\/p>\n

N\u00e3o se deve comparar redes neurais com um algoritmo de ramifica\u00e7\u00e3o (if-else). S\u00e3o coisas diferentes e h\u00e1 diferen\u00e7as-chave entre elas. Vou demonstrar com exemplos.<\/p>\n

<\/p>\n

Tarefa. Determinar a dist\u00e2ncia de frenagem de um carro com base em sua marca e ano de fabrica\u00e7\u00e3o.<\/p>\n

<\/p>\n

Exemplo de funcionamento de um algoritmo de ramifica\u00e7\u00e3o. Se o carro \u00e9 da marca 1 e fabricado em 2012, sua dist\u00e2ncia de frenagem \u00e9 de 10 metros; caso contr\u00e1rio, se o carro for da marca 2 e fabricado em 2011, e assim por diante.<\/p>\n

<\/p>\n

Exemplo de funcionamento de uma rede neural. Coletamos dados sobre dist\u00e2ncias de frenagem de carros nos \u00faltimos 20 anos. Com base na marca e no ano, elaboramos uma tabela do tipo 'marca-ano de fabrica\u00e7\u00e3o-dist\u00e2ncia de frenagem'. Damos essa tabela para a rede neural e come\u00e7amos a trein\u00e1-la. O treinamento \u00e9 realizado da seguinte forma: fornecemos dados \u00e0 rede neural, mas sem a dist\u00e2ncia de frenagem. A rede tenta prever qual ser\u00e1 a dist\u00e2ncia de frenagem com base na tabela carregada. Ela faz uma previs\u00e3o e pergunta ao usu\u00e1rio: 'Estou certa?'. Antes da pergunta, ela cria uma quarta coluna - a coluna de adivinha\u00e7\u00e3o. Se ela estiver certa, coloca 1 na quarta coluna; se errou, coloca 0. A rede neural avan\u00e7a para o pr\u00f3ximo evento (mesmo que tenha cometido um erro). Assim, a rede aprende e, quando o treinamento \u00e9 conclu\u00eddo (um determinado crit\u00e9rio de converg\u00eancia \u00e9 alcan\u00e7ado), fornecemos dados sobre o carro que nos interessa e finalmente obtemos a resposta.<\/p>\n

<\/p>\n

Para esclarecer a quest\u00e3o sobre o crit\u00e9rio de converg\u00eancia, explico que se trata de uma f\u00f3rmula derivada matematicamente para estat\u00edstica. Um exemplo marcante de duas diferentes f\u00f3rmulas de converg\u00eancia. A vermelha - converg\u00eancia bin\u00e1ria, a azul - converg\u00eancia normal.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nDistribui\u00e7\u00f5es binomial e normal de probabilidade<\/em><\/p>\n

<\/p>\n

Para tornar mais claro, fa\u00e7a a pergunta \"Qual \u00e9 a probabilidade de encontrar um dinossauro?\". H\u00e1 2 op\u00e7\u00f5es de resposta. Op\u00e7\u00e3o 1 \u2013 muito baixa (gr\u00e1fico azul). Op\u00e7\u00e3o 2 \u2013 ou eu encontro, ou n\u00e3o (gr\u00e1fico vermelho).<\/p>\n

<\/p>\n

Claro, o computador n\u00e3o \u00e9 humano e ele aprende de maneira diferente. Existem 2 tipos de aprendizado do ferreiro de ferro \u2013 aprendizado por precedentes<\/strong> e aprendizado dedutivo<\/strong>.<\/p>\n

<\/p>\n

O aprendizado por precedentes \u00e9 uma forma de aprendizado baseada em leis matem\u00e1ticas. Os matem\u00e1ticos coletam tabelas estat\u00edsticas, fazem infer\u00eancias e carregam na rede neural o resultado \u2013 uma f\u00f3rmula para c\u00e1lculo.<\/p>\n

<\/p>\n

O aprendizado dedutivo ocorre inteiramente na rede neural (desde a coleta de dados at\u00e9 a an\u00e1lise). Aqui, forma-se uma tabela sem f\u00f3rmula, mas com estat\u00edsticas.<\/p>\n

<\/p>\n

Uma vis\u00e3o ampla da tecnologia tomaria mais algumas dezenas de artigos. Por enquanto, isso \u00e9 suficiente para uma compreens\u00e3o geral.<\/p>\n

<\/p>\n

Neuroplasticidade<\/h3>\n

<\/p>\n

Na biologia, existe o conceito de neuroplasticidade. Neuroplasticidade \u00e9 a capacidade dos neur\u00f4nios (c\u00e9lulas do c\u00e9rebro) de agir \"conforme a situa\u00e7\u00e3o\". Por exemplo, uma pessoa que ficou cega ouve melhor os sons, sente os cheiros e percebe os objetos. Isso ocorre porque parte do c\u00e9rebro (alguns neur\u00f4nios) respons\u00e1vel pela vis\u00e3o redistribui seu trabalho para outra funcionalidade.<\/p>\n

<\/p>\n

Um exemplo claro de neuroplasticidade na vida \u00e9 o doce BrainPort.<\/p>\n

<\/p>\n

Em 2009, a Universidade de Wisconsin em Madison anunciou o lan\u00e7amento de um novo dispositivo que desenvolve as ideias do \"display lingu\u00edstico\" \u2013 ele foi nomeado BrainPort. O BrainPort funciona segundo este algoritmo: o sinal de v\u00eddeo \u00e9 enviado de uma c\u00e2mera para um processador, que gerencia o zoom, o brilho e outros par\u00e2metros da imagem. Ele tamb\u00e9m converte sinais digitais em impulsos el\u00e9tricos, assumindo, de fato, as fun\u00e7\u00f5es da retina.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nDoce BrainPort com \u00f3culos e c\u00e2mera<\/em><\/p>\n

<\/p>\n

\"An\u00e1lise
\nBrainPort em funcionamento<\/em><\/p>\n

\n

\r\n \"Por\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

O mesmo acontece com o computador. Se a rede neural percebe uma mudan\u00e7a no processo, ela se ajusta a isso. Esse \u00e9 um dos principais benef\u00edcios das redes neurais em compara\u00e7\u00e3o com outros algoritmos \u2013 a autonomia. \u00c9 uma esp\u00e9cie de humanidade.<\/p>\n

<\/p>\n

An\u00e1lise de Tr\u00e1fego Encriptado<\/h3>\n

<\/p>\n

A An\u00e1lise de Tr\u00e1fego Criptografado \u00e9 parte do sistema Stealthwatch. O Stealthwatch \u00e9 uma solu\u00e7\u00e3o desenvolvida pela Cisco na \u00e1rea de monitoramento e an\u00e1lise de seguran\u00e7a, que utiliza dados de telemetria corporativa da infraestrutura de rede existente.<\/p>\n

<\/p>\n

Os componentes fundamentais do Stealthwatch Enterprise s\u00e3o a Licen\u00e7a Flow Rate, o Coletor de Fluxo, o Console de Gerenciamento e o Sensor de Fluxo.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nInterface do Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

A quest\u00e3o da criptografia tornou-se bastante cr\u00edtica, uma vez que a quantidade de tr\u00e1fego criptografado aumentou significativamente. Anteriormente, apenas o c\u00f3digo era criptografado (principalmente), mas agora todo o tr\u00e1fego \u00e9 criptografado, tornando muito mais dif\u00edcil distinguir os dados 'limpos' de v\u00edrus. Um exemplo not\u00e1vel \u00e9 o WannaCry, que utilizou o Tor para ocultar sua presen\u00e7a na rede.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nVisualiza\u00e7\u00e3o do aumento da criptografia de tr\u00e1fego na rede<\/em><\/p>\n

<\/p>\n

\"An\u00e1lise
\nCriptografia na macroeconomia<\/em><\/p>\n

<\/p>\n

O sistema Encrypted Traffic Analytics (ETA) \u00e9 essencial para trabalhar com tr\u00e1fego criptografado sem a necessidade de descriptograf\u00e1-lo. Os criminosos s\u00e3o astutos e utilizam algoritmos de criptografia resistentes, e quebr\u00e1-los n\u00e3o \u00e9 apenas um desafio, mas tamb\u00e9m um investimento extremamente elevado para as organiza\u00e7\u00f5es.<\/p>\n

<\/p>\n

O sistema funciona da seguinte maneira. Um determinado tr\u00e1fego chega \u00e0 empresa. Ele passa pela TLS (transport layer security \u2014 protocolo de seguran\u00e7a de transporte). Suponhamos que o tr\u00e1fego esteja criptografado. Tentamos responder a uma s\u00e9rie de perguntas sobre qual conex\u00e3o foi estabelecida.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nPrinc\u00edpio de funcionamento do sistema Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Para responder a essas perguntas, utilizamos aprendizado de m\u00e1quina neste sistema. Realizam-se estudos da Cisco e, a partir dessas pesquisas, \u00e9 criada uma tabela com 2 resultados \u2013 tr\u00e1fego malicioso e 'bom' tr\u00e1fego. Claro, n\u00e3o sabemos com certeza que tipo de tr\u00e1fego entrou no sistema naquele momento espec\u00edfico, mas podemos rastrear o hist\u00f3rico do tr\u00e1fego tanto dentro quanto fora da empresa, utilizando dados dispon\u00edveis globalmente. No final desta etapa, obtemos uma tabela enorme com dados.<\/p>\n

<\/p>\n

Os resultados da pesquisa revelam caracter\u00edsticas distintas - regras espec\u00edficas que podem ser expressas de forma matem\u00e1tica. Essas regras variam muito de acordo com diferentes crit\u00e9rios - tamanho dos arquivos transmitidos, tipo de conex\u00e3o, pa\u00eds de origem do tr\u00e1fego, etc. Como resultado do trabalho, uma enorme tabela se transformou em um conjunto de f\u00f3rmulas. Elas diminu\u00edram em n\u00famero, mas isso ainda n\u00e3o \u00e9 suficiente para um trabalho confort\u00e1vel.<\/p>\n

<\/p>\n

Em seguida, aplica-se a tecnologia de aprendizado de m\u00e1quina - a converg\u00eancia da f\u00f3rmula e, com base no resultado da converg\u00eancia, obtemos um gatilho - um interruptor, onde ao sair os dados, obtemos um desligador (flag) em posi\u00e7\u00e3o elevada ou baixa.<\/p>\n

<\/p>\n

A etapa resultante - a obten\u00e7\u00e3o de um conjunto de gatilhos que cobriu 99% do tr\u00e1fego.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nEtapas de verifica\u00e7\u00e3o do tr\u00e1fego no ETA<\/em><\/p>\n

<\/p>\n

O trabalho resolve mais um problema - um ataque interno. N\u00e3o s\u00e3o mais necess\u00e1rias pessoas no meio para filtrar o tr\u00e1fego manualmente (neste ponto estou me prejudicando). Primeiro, n\u00e3o \u00e9 mais necess\u00e1rio gastar muito dinheiro em um administrador de sistemas qualificado (continuo me prejudicando). Em segundo lugar, n\u00e3o h\u00e1 mais o risco de invas\u00e3o interna (pelo menos, parcial).<\/p>\n

<\/p>\n

\"An\u00e1lise
\nConceito desatualizado de Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Agora, vamos entender sobre o que a sistema se baseia.<\/p>\n

<\/p>\n

O sistema opera em 4 protocolos de comunica\u00e7\u00e3o: TCP\/IP - protocolo de transmiss\u00e3o de dados na internet, DNS - servidor de nomes de dom\u00ednio, TLS - protocolo de seguran\u00e7a de transporte, SPLT (SpaceWire Physical Layer Tester) - testador da camada f\u00edsica de comunica\u00e7\u00e3o.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nProtocolos operando com ETA<\/em><\/p>\n

<\/p>\n

A compara\u00e7\u00e3o \u00e9 feita atrav\u00e9s da correla\u00e7\u00e3o de dados. Com os protocolos TCP\/IP, verifica-se a reputa\u00e7\u00e3o dos sites (hist\u00f3rico de visitas, prop\u00f3sito da cria\u00e7\u00e3o do site, etc.), gra\u00e7as ao protocolo DNS, podemos descartar endere\u00e7os de sites 'malignos'. O protocolo TLS trabalha com 'impress\u00f5es digitais' do site (fingerprint) e verifica o site na base de dados do grupo de resposta a emerg\u00eancias de computadores (cert). A \u00faltima etapa da verifica\u00e7\u00e3o da conex\u00e3o - verifica\u00e7\u00e3o no n\u00edvel f\u00edsico. Os detalhes do funcionamento desta etapa n\u00e3o s\u00e3o discutidos, mas o sentido \u00e9 o seguinte: verifica\u00e7\u00e3o de sen\u00f3ides e cossin\u00f3ides das curvas de transmiss\u00e3o de dados em configura\u00e7\u00f5es oscilogr\u00e1ficas, ou seja, atrav\u00e9s da estrutura da solicita\u00e7\u00e3o no n\u00edvel f\u00edsico, determinamos o objetivo da conex\u00e3o.<\/p>\n

<\/p>\n

Como resultado do trabalho do sistema, podemos extrair dados do tr\u00e1fego criptografado. Ao analisar os pacotes, conseguimos ler o m\u00e1ximo de informa\u00e7\u00f5es dos campos n\u00e3o criptografados dentro do pacote. Atrav\u00e9s da inspe\u00e7\u00e3o do pacote no n\u00edvel f\u00edsico, descobrimos caracter\u00edsticas do pacote (parcial ou completamente). Al\u00e9m disso, n\u00e3o devemos esquecer da reputa\u00e7\u00e3o dos sites. Se a solicita\u00e7\u00e3o veio de alguma fonte .onion, n\u00e3o devemos confi\u00e1-la. Para facilitar o manuseio desse tipo de dados, foi criado um mapa de riscos.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nResultado do trabalho do ETA<\/em><\/p>\n

<\/p>\n

E tudo parecia bem, mas vamos falar sobre a implementa\u00e7\u00e3o da rede.<\/p>\n

<\/p>\n

Implementa\u00e7\u00e3o f\u00edsica do ETA<\/h3>\n

<\/p>\n

Aqui surgem uma s\u00e9rie de nuances e sutilezas. Em primeiro lugar, ao criar um tipo de
\nrede com software de alto n\u00edvel, \u00e9 necess\u00e1rio coletar dados. Coletar dados manualmente \u00e9 totalmente
\ndif\u00edcil, e implementar um sistema de resposta \u2013 j\u00e1 \u00e9 mais interessante. Em segundo lugar, os dados
\ndevem ser abundantes, o que significa que os sensores instalados na rede devem funcionar
\nn\u00e3o apenas de forma aut\u00f4noma, mas tamb\u00e9m em um modo fino e ajustado, o que traz uma s\u00e9rie de dificuldades.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nSensores e sistema Stealthwatch<\/em><\/p>\n

<\/p>\n

Instalar um sensor \u00e9 uma coisa, mas configur\u00e1-lo \u00e9 uma tarefa completamente diferente. Para a configura\u00e7\u00e3o dos sensores, h\u00e1 um conjunto que opera na seguinte topologia \u2013 ISR = roteador com integra\u00e7\u00e3o de servi\u00e7os da Cisco (Cisco Integrated Services Router); ASR = roteador com agrega\u00e7\u00e3o de servi\u00e7os da Cisco (Cisco Aggregation Services Router); CSR = roteador de servi\u00e7os em nuvem da Cisco (Cisco Cloud Services Router); WLC = controlador de redes locais sem fio da Cisco (Cisco Wireless LAN Controller); IE = comutador Ethernet industrial da Cisco (Cisco Industrial Ethernet); ASA = dispositivo de seguran\u00e7a adaptativa da Cisco (Cisco Adaptive Security Appliance); FTD = solu\u00e7\u00e3o de defesa contra amea\u00e7as da Cisco Firepower Threat Defense; WSA = dispositivo de seguran\u00e7a de tr\u00e1fego web (Web Security Appliance); ISE = m\u00f3dulo de servi\u00e7os de identifica\u00e7\u00e3o (Identity Services Engine)<\/p>\n

<\/p>\n

\"An\u00e1lise
\nMonitoramento abrangente levando em conta quaisquer dados de telemetria<\/em><\/p>\n

<\/p>\n

Os administradores de rede come\u00e7am a ter arritmia com a quantidade de palavras \"Cisco\" no par\u00e1grafo anterior. O pre\u00e7o dessa maravilha n\u00e3o \u00e9 pequeno, mas n\u00e3o \u00e9 sobre isso que falaremos hoje...<\/p>\n

<\/p>\n

A modelagem do comportamento de um hacker ocorrer\u00e1 da seguinte forma. O Stealthwatch monitora atentamente a atividade de cada dispositivo na rede e \u00e9 capaz de criar um padr\u00e3o de comportamento normal. Al\u00e9m disso, essa solu\u00e7\u00e3o proporciona uma compreens\u00e3o profunda de comportamentos inadequados conhecidos. Para isso, utiliza cerca de 100 diferentes algoritmos de an\u00e1lise ou regras heur\u00edsticas, que se referem a diversos tipos de comportamento de tr\u00e1fego, como varredura, transmiss\u00e3o de quadros de alerta de n\u00f3s, entrada no sistema por tentativa de for\u00e7a bruta, captura presumida de dados, vazamentos presumidos de dados, entre outros. Os eventos de seguran\u00e7a listados se enquadram na categoria de alerta l\u00f3gico de alto n\u00edvel. Alguns eventos de seguran\u00e7a tamb\u00e9m podem ativar alarmes por si s\u00f3. Assim, o sistema \u00e9 capaz de correlacionar numerosos incidentes an\u00f4malos isolados e agrup\u00e1-los para determinar o poss\u00edvel tipo de ataque, al\u00e9m de vincul\u00e1-lo a um dispositivo espec\u00edfico e a um usu\u00e1rio (figura 2). Posteriormente, o incidente pode ser analisado em din\u00e2mica e com base nos dados de telemetria relacionados. Isso constitui a informa\u00e7\u00e3o contextual em sua melhor forma. M\u00e9dicos que examinam um paciente para entender o que aconteceu n\u00e3o consideram os sintomas isoladamente. Eles analisam o todo para fazer um diagn\u00f3stico. Da mesma forma, o Stealthwatch registra cada atividade an\u00f4mala na rede e a estuda de forma integrada, enviando alertas levando em considera\u00e7\u00e3o o contexto, ajudando assim os especialistas em seguran\u00e7a a priorizar os riscos.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nDetec\u00e7\u00e3o de anomalias atrav\u00e9s da modelagem de comportamento<\/em><\/p>\n

<\/p>\n

A implanta\u00e7\u00e3o f\u00edsica da rede se apresenta assim:<\/p>\n

<\/p>\n

\"An\u00e1lise
\nOp\u00e7\u00e3o de implanta\u00e7\u00e3o de rede de filial (simplificada)<\/em><\/p>\n

<\/p>\n

\"An\u00e1lise
\nOp\u00e7\u00e3o de implanta\u00e7\u00e3o de rede de filial<\/em><\/p>\n

<\/p>\n

A rede foi implantada, mas ainda h\u00e1 uma quest\u00e3o em aberto sobre a rede neural. Foi organizada uma rede de transmiss\u00e3o de dados, instalados sensores nos limites e um sistema de coleta de informa\u00e7\u00f5es foi lan\u00e7ado, mas a rede neural n\u00e3o participou at\u00e9 o momento.<\/p>\n

<\/p>\n

Rede neural de m\u00faltiplas camadas<\/h3>\n

<\/p>\n

O sistema analisa o comportamento do usu\u00e1rio e do dispositivo para identificar infec\u00e7\u00f5es maliciosas, comunica\u00e7\u00f5es com servidores de comando, vazamentos de dados, bem como aplicativos potencialmente indesejados que operam na infraestrutura da organiza\u00e7\u00e3o. Existem v\u00e1rios n\u00edveis de processamento de dados, nos quais uma combina\u00e7\u00e3o de m\u00e9todos de intelig\u00eancia artificial, aprendizado de m\u00e1quina e estat\u00edstica matem\u00e1tica ajuda a rede a se auto-aprender sobre sua atividade normal, para que possa identificar atividades maliciosas.<\/p>\n

<\/p>\n

O pipeline de an\u00e1lise de seguran\u00e7a da rede, que coleta dados de telemetria de todas as partes da rede ampliada, incluindo tr\u00e1fego criptografado, \u00e9 um recurso \u00fanico do Stealthwatch. Ele forma gradualmente uma compreens\u00e3o do que \u00e9 'an\u00f4malo', depois classifica os elementos individuais da 'atividade suspeita' e, por fim, toma uma decis\u00e3o final sobre se o dispositivo ou o usu\u00e1rio foram realmente comprometidos. A capacidade de reunir pequenos fragmentos que, juntos, formam evid\u00eancias para a tomada de uma decis\u00e3o final sobre a compromiss\u00e3o do objeto \u00e9 garantida atrav\u00e9s de uma an\u00e1lise e correla\u00e7\u00e3o muito rigorosas.<\/p>\n

<\/p>\n

Essa capacidade \u00e9 extremamente importante, pois uma empresa padr\u00e3o pode receber diariamente uma quantidade imensa de alarmes, e investigar cada um deles \u00e9 invi\u00e1vel \u2014 os recursos dos especialistas de seguran\u00e7a s\u00e3o limitados. O m\u00f3dulo de aprendizado de m\u00e1quina processa uma grande quantidade de informa\u00e7\u00f5es praticamente em tempo real para identificar incidentes cr\u00edticos com um alto grau de confian\u00e7a e tamb\u00e9m \u00e9 capaz de sugerir uma ordem clara de a\u00e7\u00f5es para resolu\u00e7\u00e3o r\u00e1pida.<\/p>\n

<\/p>\n

Vamos explorar mais detalhadamente os diversos m\u00e9todos de aprendizado de m\u00e1quina utilizados no Stealthwatch. Quando um incidente \u00e9 enviado para o m\u00f3dulo de aprendizado de m\u00e1quina do Stealthwatch, ele passa por um funil de an\u00e1lise de seguran\u00e7a, onde combina m\u00e9todos de aprendizado de m\u00e1quina supervisionado e n\u00e3o supervisionado.<\/p>\n

<\/p>\n

\"An\u00e1lise
\nCapacidades de aprendizado de m\u00e1quina em m\u00faltiplos n\u00edveis<\/em><\/p>\n

<\/p>\n

N\u00edvel 1. Detec\u00e7\u00e3o de anomalias e modelagem de confian\u00e7a<\/h3>\n

<\/p>\n

Neste n\u00edvel, 99% do tr\u00e1fego \u00e9 descartado atrav\u00e9s de detectores de anomalias estat\u00edsticas. Os sensores mencionados colaboram para formar modelos complexos do que \u00e9 normal e, contrariamente, o que \u00e9 an\u00f4malo. Contudo, o an\u00f4malo n\u00e3o \u00e9 necessariamente malicioso. Muito do que acontece em sua rede n\u00e3o est\u00e1 relacionado a amea\u00e7as \u2014 \u00e9 apenas estranho. \u00c9 importante classificar esses processos independentemente do comportamento amea\u00e7ador. Por esse motivo, os resultados do trabalho desses detectores passam por uma an\u00e1lise adicional para identificar comportamentos estranhos que podem ser explicados e nos quais podemos confiar. No final, apenas uma pequena fra\u00e7\u00e3o dos fluxos e solicita\u00e7\u00f5es mais relevantes avan\u00e7a para os n\u00edveis 2 e 3. Sem a aplica\u00e7\u00e3o de tais m\u00e9todos de aprendizado de m\u00e1quina, os custos operacionais para separar o sinal do ru\u00eddo seriam excessivos.<\/p>\n

<\/p>\n

Detec\u00e7\u00e3o de anomalias.<\/strong> Na primeira etapa da detec\u00e7\u00e3o de anomalias, s\u00e3o utilizados m\u00e9todos estat\u00edsticos de aprendizado de m\u00e1quina para separar o tr\u00e1fego estatisticamente normal do an\u00f4malo. Mais de 70 detectores distintos processam os dados de telemetria coletados pelo Stealthwatch sobre o tr\u00e1fego que passa pelo per\u00edmetro de sua rede, separando o tr\u00e1fego interno do sistema de nomes de dom\u00ednio (DNS) e os dados do servidor proxy, quando dispon\u00edveis. Cada solicita\u00e7\u00e3o \u00e9 processada por mais de 70 detectores, com cada detector utilizando seu pr\u00f3prio algoritmo estat\u00edstico para formar uma avalia\u00e7\u00e3o das anomalias identificadas. Essas avalia\u00e7\u00f5es s\u00e3o combinadas, resultando em uma \u00fanica estimativa para cada solicita\u00e7\u00e3o individual, que \u00e9 ent\u00e3o utilizada para separar o tr\u00e1fego normal do an\u00f4malo.<\/p>\n

<\/p>\n

Modelagem de confian\u00e7a.<\/strong> Em seguida, as solicita\u00e7\u00f5es semelhantes s\u00e3o agrupadas, e a avalia\u00e7\u00e3o acumulada de anomalias para esses grupos \u00e9 definida como a m\u00e9dia de longo prazo. Com o tempo, mais solicita\u00e7\u00f5es s\u00e3o analisadas e submetidas \u00e0 determina\u00e7\u00e3o da m\u00e9dia de longo prazo, o que permite reduzir disparos falsos positivos e falsos negativos. Os resultados da modelagem de confian\u00e7a s\u00e3o utilizados para selecionar um subconjunto de tr\u00e1fego, cuja avalia\u00e7\u00e3o de anomalias excede um determinado valor limite definido dinamicamente, para ser movido para o pr\u00f3ximo n\u00edvel de processamento.<\/p>\n

<\/p>\n

N\u00edvel 2. Classifica\u00e7\u00e3o de eventos e modelagem de objetos<\/h3>\n

<\/p>\n

Neste n\u00edvel, acontece a classifica\u00e7\u00e3o dos resultados obtidos nas etapas anteriores, atribuindo-os a eventos maliciosos espec\u00edficos. A classifica\u00e7\u00e3o de eventos \u00e9 realizada com base nos valores atribu\u00eddos pelos classificadores de aprendizado de m\u00e1quina com o objetivo de manter um \u00edndice de precis\u00e3o constante acima de 90%. Entre eles est\u00e3o:<\/p>\n

<\/p>\n