{"id":90228,"date":"2020-07-30T01:42:34","date_gmt":"2020-07-29T23:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3"},"modified":"2020-07-30T01:42:34","modified_gmt":"2020-07-29T23:42:34","slug":"stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","title":{"rendered":"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/3efab47dd80ed8bd6a81dbca5bedcc72.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/cisco\/cisco-stealthwatch\">Cisco StealthWatch<\/a><\/noindex> \u00e9 uma solu\u00e7\u00e3o de an\u00e1lise em seguran\u00e7a da informa\u00e7\u00e3o que proporciona monitoramento abrangente de amea\u00e7as em uma rede distribu\u00edda. O funcionamento do StealthWatch baseia-se na coleta de NetFlow e IPFIX de roteadores, switches e outros dispositivos de rede. Como resultado, a rede se torna um sensor sens\u00edvel, permitindo que o administrador veja o que m\u00e9todos de prote\u00e7\u00e3o de rede tradicionais, como o Next Generation Firewall, n\u00e3o conseguem acessar.<\/p>\n<p>Em artigos anteriores, j\u00e1 escrevi sobre o StealthWatch: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/458626\/\">introdu\u00e7\u00e3o e recursos<\/a><\/noindex>, al\u00e9m de <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/461831\/\">implanta\u00e7\u00e3o e configura\u00e7\u00e3o<\/a><\/noindex>. Agora, proponho avan\u00e7ar e discutir como lidar com alarmes e investigar incidentes de seguran\u00e7a gerados pela solu\u00e7\u00e3o. Ser\u00e3o apresentados 6 exemplos que, espero, oferecer\u00e3o uma boa compreens\u00e3o da utilidade do produto.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nPrimeiramente, \u00e9 importante dizer que no StealthWatch h\u00e1 uma certa distribui\u00e7\u00e3o entre acionamentos de algoritmos e feeds. Os primeiros s\u00e3o diversos tipos de alarmes (notifica\u00e7\u00f5es), cujo disparo pode indicar atividades suspeitas na rede. Os segundos se referem a incidentes de seguran\u00e7a. Neste artigo, examinaremos 4 exemplos de acionamentos de algoritmos e 2 exemplos de feeds.<\/p>\n<h2>1. An\u00e1lise das intera\u00e7\u00f5es mais volumosas dentro da rede<\/h2>\n<p>\nO primeiro passo na configura\u00e7\u00e3o do StealthWatch \u00e9 a defini\u00e7\u00e3o de hosts e redes por grupos. Na interface web, a aba <i>Configure &gt; Gest\u00e3o de Grupos de Hosts<\/i> deve ser usada para classificar redes, hosts e servidores em grupos apropriados. Grupos personalizados tamb\u00e9m podem ser criados. Vale mencionar que a an\u00e1lise das intera\u00e7\u00f5es entre hosts no Cisco StealthWatch \u00e9 bastante conveniente, pois \u00e9 poss\u00edvel n\u00e3o apenas salvar filtros de busca por fluxos, mas tamb\u00e9m os resultados.<\/p>\n<p>Para come\u00e7ar, na interface web, acesse a aba <i>Analyze &gt; Pesquisa de Fluxo<\/i>. Em seguida, defina os seguintes par\u00e2metros:<\/p>\n<ul>\n<li>Tipo de Pesquisa \u2014 Top Conversations (as intera\u00e7\u00f5es mais populares)<\/li>\n<li>Intervalo de Tempo \u2014 24 horas (o intervalo pode ser ajustado)<\/li>\n<li>Nome da Pesquisa \u2014 Top Conversations Inside-Inside (qualquer nome claro)<\/li>\n<li>Assunto \u2014 Grupos de Hosts \u2192 Hosts Internos (origem \u2014 grupo de n\u00f3s internos)<\/li>\n<li>Conex\u00e3o (\u00e9 poss\u00edvel especificar portas, aplicativos)<\/li>\n<li>Peer \u2014 Grupos de Hosts \u2192 Hosts Internos (destino \u2014 grupo de n\u00f3s internos)<\/li>\n<li>Nas Op\u00e7\u00f5es Avan\u00e7adas, \u00e9 poss\u00edvel especificar o coletor de onde os dados s\u00e3o visualizados, al\u00e9m da ordena\u00e7\u00e3o da sa\u00edda (por bytes, fluxos e outros). Vou deixar o padr\u00e3o.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/fefc6d925ab3b155aeea2536dddaf7da.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAp\u00f3s clicar no bot\u00e3o <i>Pesquisar <\/i>\u00e9 exibida uma lista de intera\u00e7\u00f5es que j\u00e1 est\u00e3o ordenadas pelo volume de dados transmitidos.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/3fa739dec55bd4a564ee78adc2ae0e91.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNo meu exemplo, o host <i>10.150.1.201<\/i> (servidor) em um \u00fanico fluxo transmitiu<i> 1,5 GB<\/i> de tr\u00e1fego para o host <i>10.150.1.200<\/i> (cliente) pelo protocolo <i>mysql<\/i>. O bot\u00e3o <i>Gerenciar Colunas<\/i> permite adicionar mais colunas nos dados exibidos.<\/p>\n<p>Em seguida, a crit\u00e9rio do administrador, pode-se criar uma regra personalizada que ser\u00e1 acionada constantemente para esse tipo de intera\u00e7\u00e3o e notificar via SNMP, email ou Syslog. <\/p>\n<h2>2. An\u00e1lise das intera\u00e7\u00f5es cliente-servidor mais lentas dentro da rede para verificar lat\u00eancias<\/h2>\n<p>\nEtiquetas <b>SRT (Server Response Time)<\/b>, <b>RTT (Round Trip Time)<\/b> ajudam a identificar as lat\u00eancias dos servidores e lat\u00eancias gerais na rede. Essa ferramenta \u00e9 especialmente \u00fatil quando \u00e9 necess\u00e1rio encontrar rapidamente a causa das reclama\u00e7\u00f5es dos usu\u00e1rios sobre aplicativos lentos.<\/p>\n<p><i>Nota<\/i>: praticamente todos os exportadores Netflow <b>n\u00e3o conseguem<\/b> enviar etiquetas SRT, RTT, portanto, muitas vezes, para visualizar esses dados no FlowSensor \u00e9 necess\u00e1rio configurar o envio de uma c\u00f3pia do tr\u00e1fego dos dispositivos de rede. O FlowSensor, por sua vez, fornece IPFIX estendido ao FlowCollector.<\/p>\n<p>\u00c9 mais conveniente realizar essa an\u00e1lise no aplicativo java StealthWatch, que \u00e9 instalado no computador do administrador.<\/p>\n<p>Clique com o bot\u00e3o direito em <i>Hosts Internos<\/i> e v\u00e1 para a aba <i>Tabela de Fluxo<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/3a23cf8219fc2ad44eeab7da27d5e696.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nClique em <i>Filtro <\/i>e defina os par\u00e2metros necess\u00e1rios. Como exemplo:<\/p>\n<ul>\n<li>Data\/Hora \u2014 Para os \u00faltimos 3 dias<\/li>\n<li>Desempenho \u2014 M\u00e9dia do Tempo de Ida e Volta &gt;= 50ms<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/c7c717e336dc96fce48f05bc735cd14a.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/a0aad8dfa8e759f22486716221ddac82.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAp\u00f3s a exibi\u00e7\u00e3o dos dados, deve-se adicionar os campos RTT e SRT que nos interessam. Para isso, basta clicar na coluna da captura de tela e, com o bot\u00e3o direito, escolher <i>Gerenciar Colunas<\/i>. Em seguida, clique nos par\u00e2metros RTT e SRT.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/069660512595d149353ea98b9fb7c828.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAp\u00f3s processar a solicita\u00e7\u00e3o, classifiquei por m\u00e9dia de RTT e vi as intera\u00e7\u00f5es mais lentas.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/669e24fabc650d607b4767c50345a12b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPara acessar informa\u00e7\u00f5es detalhadas, clique com o bot\u00e3o direito no fluxo e escolha <i>Visualiza\u00e7\u00e3o R\u00e1pida do Fluxo<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/6e03114b9cdbbef516d65cdc43c6b3e2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEssas informa\u00e7\u00f5es indicam que o host <i>10.201.3.59<\/i> do grupo <i>Vendas e Marketing<\/i> pelo protocolo <i>NFS<\/i> acessa o <i>servidor DNS<\/i> durante um minuto e 23 segundos e tem uma lat\u00eancia extremamente alta. Na aba <i>Interfaces <\/i>\u00e9 poss\u00edvel descobrir de qual exportador Netflow as informa\u00e7\u00f5es foram obtidas. Na aba <i>Tabela <\/i> est\u00e3o representadas informa\u00e7\u00f5es mais detalhadas sobre a intera\u00e7\u00e3o.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/66750a2e003972cabdea60096397f8be.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA seguir, \u00e9 importante descobrir quais dispositivos est\u00e3o enviando tr\u00e1fego para o FlowSensor, e o problema provavelmente est\u00e1 l\u00e1.<\/p>\n<p>Al\u00e9m disso, o StealthWatch \u00e9 \u00fanico porque realiza <b>deduplica\u00e7\u00e3o<\/b> de dados (combina fluxos id\u00eanticos). Portanto, \u00e9 poss\u00edvel coletar praticamente de todos os dispositivos Netflow, sem se preocupar com dados repetidos. Na verdade, isso ajuda a entender em qual hop existem maiores lat\u00eancias.<\/p>\n<h2>3. Auditoria de protocolos criptogr\u00e1ficos HTTPS<\/h2>\n<p>\n<b>ETA (Encrypted Traffic Analytics)<\/b> \u00e9 uma tecnologia desenvolvida pela Cisco que permite detectar conex\u00f5es maliciosas em tr\u00e1fego criptografado sem precisar descriptograf\u00e1-lo. Al\u00e9m disso, essa tecnologia permite \"analisar\" o HTTPS nas vers\u00f5es TLS e protocolos criptogr\u00e1ficos utilizados nas conex\u00f5es. Essa funcionalidade \u00e9 especialmente \u00fatil quando \u00e9 necess\u00e1rio identificar n\u00f3s de rede que utilizam padr\u00f5es criptogr\u00e1ficos fracos.<\/p>\n<p><i>Nota<\/i>: primeiramente, deve-se instalar o aplicativo de rede no StealthWatch \u2014 <b>Auditoria Criptogr\u00e1fica ETA<\/b>.<\/p>\n<p>Vamos \u00e0 aba <i>Dashboards \u2192 Auditoria Criptogr\u00e1fica ETA<\/i> e selecionamos o grupo de hosts que se pretende analisar. Para uma vis\u00e3o geral, escolhemos <i>Hosts Internos<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/2cac9b02089c027cc7908ce018638a68.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\u00c9 poss\u00edvel observar que a vers\u00e3o TLS e o correspondente padr\u00e3o criptogr\u00e1fico s\u00e3o exibidos. Seguindo o padr\u00e3o usual, na coluna <i>A\u00e7\u00f5es <\/i>vamos em <i>Ver Fluxos<\/i> e a busca come\u00e7a em uma nova aba.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/0b0a274b1538e58ad74a17e2a4eee160.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/ad99bdd25cd02247b6e76240fdd7edd6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDa sa\u00edda, \u00e9 poss\u00edvel ver que o host <i>198.19.20.136<\/i> por um per\u00edodo de <i>12 horas<\/i> usou HTTPS com TLS 1.2, onde o algoritmo de criptografia <i>AES-256<\/i> e a fun\u00e7\u00e3o hash <i>SHA-384<\/i>. Portanto, a ETA permite encontrar algoritmos fracos na rede.<\/p>\n<h2>4. An\u00e1lise de anomalias na rede<\/h2>\n<p>\nCisco StealthWatch \u00e9 capaz de reconhecer anomalias de tr\u00e1fego na rede, utilizando tr\u00eas ferramentas: <b>Eventos Principais<\/b> (eventos de seguran\u00e7a), <b>Eventos de Relacionamento<\/b> (eventos de intera\u00e7\u00f5es entre segmentos, n\u00f3s da rede) e <b>an\u00e1lise comportamental<\/b>.<\/p>\n<p>A an\u00e1lise comportamental, por sua vez, permite construir ao longo do tempo um modelo de comportamento para um determinado host ou grupo de hosts. Quanto mais tr\u00e1fego passar pelo StealthWatch, mais precisos ser\u00e3o os acionamentos gra\u00e7as a essa an\u00e1lise. Inicialmente, o sistema pode gerar muitos acionamentos err\u00f4neos, por isso as regras devem ser ajustadas manualmente. Recomendo que nas primeiras semanas n\u00e3o se preste aten\u00e7\u00e3o a esses eventos, pois o sistema se ajustar\u00e1 sozinho, ou ent\u00e3o adicionar \u00e0s exce\u00e7\u00f5es.<\/p>\n<p>Abaixo segue um exemplo de regra pr\u00e9-configurada <i>Anomalia<\/i>, que afirma que o evento ser\u00e1 acionado sem alarme se <i>o host no grupo Inside Hosts interagir com o grupo Inside Hosts e, em 24 horas, o tr\u00e1fego exceder 10 megabytes<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/9f13165149dfab7e6cf5cf038e1573e5.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPor exemplo, vamos considerar um alarme <i>Data Hoarding<\/i>, que significa que algum host de origem\/destino carregou\/baixou uma quantidade anormalmente grande de dados do grupo de hosts ou do host. Clicamos no evento e acessamos a tabela que lista os hosts que dispararam. Em seguida, selecionamos o host de nosso interesse na coluna <i>Data Hoarding<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/5bac3325f9f34342802d115c4a13bf39.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/5e065344005db20d276a800d8362a347.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nO evento \u00e9 exibido, indicando que foram detectados 162k \u201cpontos\u201d, enquanto a pol\u00edtica permite 100k \u201cpontos\u201d \u2014 s\u00e3o m\u00e9tricas internas do StealthWatch. Na coluna <i>A\u00e7\u00f5es <\/i>clicamos <i>Ver Fluxos<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/352df8d925fe46246a35677482d65030.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nPodemos observar que <i>este host<\/i> interagiu durante a noite com o host <i>10.201.3.47<\/i> do departamento <i>Sales &amp; Marketing<\/i> pelo protocolo <i>HTTPS <\/i>e baixou <i>1,4 Gb<\/i>. Este exemplo pode n\u00e3o ser o mais adequado, mas a detec\u00e7\u00e3o de intera\u00e7\u00f5es de v\u00e1rias centenas de gigabytes \u00e9 realizada da mesma maneira. Portanto, uma investiga\u00e7\u00e3o mais aprofundada de anomalias pode levar a resultados interessantes.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/923992706b36b18d2709feb444f7cf14.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>Nota<\/i>: na interface web do SMC, os dados nas abas <i>Dashboards <\/i>s\u00e3o exibidos apenas para a \u00faltima semana e na aba <i>Monitor<\/i> para as \u00faltimas 2 semanas. Para analisar eventos mais antigos e para gerar relat\u00f3rios, \u00e9 necess\u00e1rio trabalhar com o console Java no computador do administrador.<\/p>\n<h2>5. Identifica\u00e7\u00e3o de varreduras internas de rede<\/h2>\n<p>\nAgora vejamos alguns exemplos de feeds \u2014 incidentes de seguran\u00e7a da informa\u00e7\u00e3o. Essa funcionalidade \u00e9 mais interessante para os profissionais de seguran\u00e7a.<\/p>\n<p>Existem v\u00e1rios tipos de eventos de varredura predefinidos no StealthWatch:<\/p>\n<ul>\n<li>Port Scan \u2014 o originador escaneia v\u00e1rias portas do n\u00f3 de destino.<\/li>\n<li>Addr tcp scan \u2014 o originador escaneia toda uma rede em uma \u00fanica porta TCP, mudando, nesse processo, o endere\u00e7o IP de destino. O originador pode receber pacotes TCP Reset ou n\u00e3o receber respostas de forma alguma.<\/li>\n<li>Addr udp scan \u2014 o originador escaneia toda uma rede em uma \u00fanica porta UDP, mudando, nesse processo, o endere\u00e7o IP de destino. O originador pode receber pacotes ICMP Port Unreachable ou n\u00e3o receber respostas de forma alguma.<\/li>\n<li>Ping Scan \u2014 o originador envia solicita\u00e7\u00f5es ICMP para toda uma rede em busca de respostas.<\/li>\n<li>Stealth Scan tcp\/udp \u2014 o originador usou sua mesma porta para se conectar a v\u00e1rias portas no n\u00f3 de destino ao mesmo tempo.<\/li>\n<\/ul>\n<p>\nPara encontrar todos os scanners internos de forma mais pr\u00e1tica, existe um aplicativo de rede para <i>StealthWatch \u2014 Avalia\u00e7\u00e3o de Visibilidade<\/i>V\u00e1 para a aba <i>Dashboards \u2192 Avalia\u00e7\u00e3o de Visibilidade \u2192 Scanners de Rede Interna<\/i> voc\u00ea ver\u00e1 os incidentes de seguran\u00e7a relacionados \u00e0 varredura, nos \u00faltimos 14 dias.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/eb72d246b44752e8441afd500178fc02.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nClicando no bot\u00e3o <i>Detalhes<\/i>, ser\u00e1 poss\u00edvel visualizar o in\u00edcio da varredura de cada rede, a tend\u00eancia de tr\u00e1fego e os alarmes correspondentes.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/b4ef9ec46040cdab026b83d03eda615f.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEm seguida, voc\u00ea pode \u201caprofundar-se\u201d no host a partir da aba na captura de tela anterior e ver os eventos de seguran\u00e7a, bem como a atividade da \u00faltima semana para esse host.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/7f8d57e2d29930fcd5febf5a44cca714.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/7ce0e489618c072958a3416e342900eb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nComo exemplo, analisaremos o evento <i>Varredura de Porta<\/i> do host <i>10.201.3.149<\/i> para <i>10.201.0.72<\/i>, clicando em <i>A\u00e7\u00f5es &gt; Fluxos Associados<\/i>. Uma busca nos fluxos \u00e9 iniciada e as informa\u00e7\u00f5es relevantes s\u00e3o exibidas.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/07f86540fae01171c8dfea68c8451a47.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nComo podemos ver, esse host, a partir de uma de suas portas <i>51508\/TCP<\/i> varreu 3 horas atr\u00e1s o host de destino nas portas<i> 22, 28, 42, 41, 36, 40 (TCP).<\/i>Alguns campos n\u00e3o mostram informa\u00e7\u00f5es, seja porque nem todos os campos Netflow s\u00e3o suportados no exportador de Netflow.<\/p>\n<h2>6. An\u00e1lise de malwares baixados usando o CTA<\/h2>\n<p>\n<b>CTA (An\u00e1lise Cognitiva de Amea\u00e7as)<\/b> \u00e9 uma an\u00e1lise em nuvem da Cisco que se integra bem com o Cisco StealthWatch e permite complementar a an\u00e1lise sem assinatura com an\u00e1lise baseada em assinatura. Assim, \u00e9 poss\u00edvel detectar trojans, vermes de rede, malwares de dia zero e outras amea\u00e7as, bem como sua propaga\u00e7\u00e3o dentro da rede. A tecnologia anteriormente mencionada, ETA, tamb\u00e9m permite analisar essas comunica\u00e7\u00f5es maliciosas em tr\u00e1fego criptografado.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/68d86dc9686e2f0c754181db73411ab8.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNa primeira aba da interface web, h\u00e1 um widget especial <i>An\u00e1lise Cognitiva de Amea\u00e7as.<\/i>Um resumo breve informa sobre as amea\u00e7as detectadas em hosts de usu\u00e1rios: trojans, software fraudulento, adware. A palavra \u201cCriptografado\u201d indica o funcionamento da ETA. Clicando no host, voc\u00ea ver\u00e1 todas as informa\u00e7\u00f5es, incluindo eventos de seguran\u00e7a e logs do CTA.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/a49a2ae655c1dfa89cdcb194c8f38c51.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/f6bbe9585060ecb46712584924125fa3.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAo passar o mouse sobre cada etapa do CTA, informa\u00e7\u00f5es detalhadas sobre a intera\u00e7\u00e3o s\u00e3o exibidas. Para uma an\u00e1lise completa, vale a pena clicar em <i>Ver Detalhes do Incidente<\/i>, e voc\u00ea ser\u00e1 direcionado para um console separado. <i>An\u00e1lise Cognitiva de Amea\u00e7as.<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/8737a4da2133ee4b72e830f9208f4d11.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nNo canto superior direito, o filtro permite exibir eventos por n\u00edvel de criticidade. Ao passar o mouse sobre uma anomalia espec\u00edfica, os logs com a linha do tempo correspondente aparecem na parte inferior da tela. Assim, o especialista da \u00e1rea de seguran\u00e7a da informa\u00e7\u00e3o entende claramente qual host infectado come\u00e7ou a realizar quais a\u00e7\u00f5es ap\u00f3s determinadas atividades.<\/p>\n<p>Abaixo est\u00e1 mais um exemplo \u2014 um trojan banc\u00e1rio, que infectou o host. <i>198.19.30.36<\/i>Este host come\u00e7ou a interagir com dom\u00ednios maliciosos, e os logs mostram informa\u00e7\u00f5es sobre os fluxos dessas intera\u00e7\u00f5es. <\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/d5faba6e8ec2addff8e18b83548e65fe.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<img decoding=\"async\" alt=\"StealthWatch: An\u00e1lise e Investiga\u00e7\u00e3o de Incidentes. Parte 3\" src=\"\/wp-content\/uploads\/2020\/07\/a5f880407468b6fc62805d68c2d672cb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nUma das melhores solu\u00e7\u00f5es que pode haver \u00e9 colocar o host em quarentena gra\u00e7as \u00e0 integra\u00e7\u00e3o nativa <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/511726\/\">com a Cisco ISE para tratamento e an\u00e1lise posteriores. <\/a><\/noindex>A solu\u00e7\u00e3o Cisco StealthWatch \u00e9 uma das l\u00edderes entre os produtos de monitoramento de rede, tanto em termos de an\u00e1lise de rede quanto de seguran\u00e7a da informa\u00e7\u00e3o. Com ela, \u00e9 poss\u00edvel detectar intera\u00e7\u00f5es ileg\u00edtimas dentro da rede, lat\u00eancias de aplicativos, os usu\u00e1rios mais ativos, anomalias, malwares e APTs. Al\u00e9m disso, \u00e9 poss\u00edvel identificar varreduras, pentesters e realizar auditoria criptogr\u00e1fica do tr\u00e1fego HTTPS. Mais casos de uso podem ser encontrados em <\/p>\n<h2>Conclus\u00e3o<\/h2>\n<p>\nSe voc\u00ea deseja verificar qu\u00e3o bem e eficientemente sua rede est\u00e1 funcionando, envie <noindex><a rel=\"nofollow\" href=\"https:\/\/cisco.bravais.com\/s\/lnmF3Eowwg51t7Rj9DtD\">link<\/a><\/noindex>.<\/p>\n<p>Em breve, planejamos mais algumas publica\u00e7\u00f5es t\u00e9cnicas sobre v\u00e1rios produtos de seguran\u00e7a da informa\u00e7\u00e3o. Se voc\u00ea se interessa por esse tema, fique de olho em nossas atualiza\u00e7\u00f5es em nossos canais ( <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/cisco\/cisco-stealthwatch\">de solicita\u00e7\u00e3o<\/a><\/noindex>. <br \/>\n4. NGFW para pequenas empresas. VPN<noindex><a rel=\"nofollow\" href=\"https:\/\/t.me\/tssolution\">Telegram<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.facebook.com\/tssolution2020\/\">Facebook<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/vk.com\/ts_solution\">VK<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/blog\">Blog da TS Solution<\/a><\/noindex>)!<br \/>\n<br \/>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/509812\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>Cisco StealthWatch \u2014 \u044d\u0442\u043e \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0432 \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0418\u0411, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u0435\u0442 \u0432\u0441\u0435\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0443\u0433\u0440\u043e\u0437 \u0432 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. \u0412 \u043e\u0441\u043d\u043e\u0432\u0435 \u0440\u0430\u0431\u043e\u0442\u044b StealthWatch \u043b\u0435\u0436\u0438\u0442 \u0441\u0431\u043e\u0440 NetFlow \u0438 IPFIX \u0441 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432, \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0441\u0435\u0442\u044c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u0441\u0435\u043d\u0441\u043e\u0440\u043e\u043c \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0443 \u0437\u0430\u0433\u043b\u044f\u043d\u0443\u0442\u044c \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043d\u0435 \u043c\u043e\u0433\u0443\u0442 \u0434\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0442\u0440\u0430\u0434\u0438\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0437\u0430\u0449\u0438\u0442\u044b \u0441\u0435\u0442\u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Next Generation [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":90229,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-90228","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47StealthWatch: \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. \u0427\u0430\u0441\u0442\u044c 3 | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-07-29T23:42:34+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-07-29T23:42:34+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47StealthWatch: an\u00e1lise e investiga\u00e7\u00e3o de incidentes. Parte 3 | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47StealthWatch: \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. \u0427\u0430\u0441\u0442\u044c 3 | ProHoster","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-07-29T23:42:34+00:00","article:modified_time":"2020-07-29T23:42:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"90228","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:55:29","updated":"2022-10-02 06:01:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/90228","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=90228"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/90228\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/90229"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=90228"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=90228"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=90228"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}