{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analiza traficului criptat f\u0103r\u0103 decriptare","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un sistem pentru analiza traficului f\u0103r\u0103 decriptare. Aceast\u0103 metod\u0103 se nume\u0219te simplu - \u201e\u00eenv\u0103\u021bare automat\u0103\u201d. S-a dovedit c\u0103, dac\u0103 se ofer\u0103 un volum foarte mare de trafic variat unui classifier specializat, sistemul poate detecta cu o mare probabilitate ac\u021biunile codului mali\u021bios \u00een cadrul traficului criptat.<\/p>\n

<\/p>\n

\"Analiza<\/p>\n

<\/a><\/noindex><\/p>\n

Amenin\u021b\u0103rile cibernetice s-au schimbat \u0219i au devenit \u201emai inteligente\u201d. \u00cen ultima vreme, conceptul de atac \u0219i ap\u0103rare s-a schimbat. Num\u0103rul evenimentelor din re\u021bea a crescut exponen\u021bial. Atacurile au devenit mai sofisticate, iar hackerii au un domeniu de ac\u021biune mai larg.<\/p>\n

<\/p>\n

Potrivit statisticilor Cisco, infractorii au triplicat \u00een ultimul an num\u0103rul programelor mali\u021bioase pe care le folosesc \u00een activitatea lor, mai exact pentru ascunderea acesteia - criptarea. Din teoria informaticii, se \u0219tie c\u0103 un algoritm de criptare \u201ecorect\u201d nu poate fi spart. Pentru a \u00een\u021belege ce se ascunde \u00een interiorul traficului criptat, trebuie fie s\u0103-l decript\u0103m av\u00e2nd cheia, fie s\u0103 \u00eencerc\u0103m s\u0103-l decript\u0103m prin diferite trucuri, fie prin atacuri brute, fie folosind anumite vulnerabilit\u0103\u021bi \u00een protocoalele criptografice.<\/p>\n

<\/p>\n

\"Analiza
\nImaginea amenin\u021b\u0103rilor cibernetice \u00een vremurile noastre<\/em><\/p>\n

<\/p>\n

\u00cenv\u0103\u021barea automat\u0103<\/h3>\n

<\/p>\n

Cunoa\u0219te tehnologia! \u00cenainte de a discuta despre cum func\u021bioneaz\u0103 tehnologia de decriptare bazat\u0103 pe \u00eenv\u0103\u021barea automat\u0103, este necesar s\u0103 \u00een\u021belegem cum func\u021bioneaz\u0103 tehnologia re\u021belelor neuronale.<\/p>\n

<\/p>\n

\u00cenv\u0103\u021barea automat\u0103 (Machine Learning) este un subdomeniu extins al inteligen\u021bei artificiale, care studiaz\u0103 metodele de dezvoltare a algoritmilor capabili s\u0103 \u00eenve\u021be. Aceast\u0103 \u0219tiin\u021b\u0103 se concentreaz\u0103 pe crearea de modele matematice de \u201e\u00eenv\u0103\u021bare\u201d a computerului. Scopul \u00eenv\u0103\u021b\u0103rii este predic\u021bia a ceva. \u00cen \u00een\u021belegerea uman\u0103, numim acest proces cuv\u00e2ntul \u201e\u00een\u021belepciune\u201d<\/em>. \u00cen\u021belepciunea se manifest\u0103 la oamenii care au tr\u0103it suficient de mul\u021bi ani (un copil de 2 ani nu poate fi \u00een\u021belept). C\u00e2nd cerem sfaturi de la cei mai \u00een v\u00e2rst\u0103, le oferim ni\u0219te informa\u021bii despre eveniment (intrarea) \u0219i cerem ajutor. Ace\u0219tia, la r\u00e2ndul lor, \u00ee\u0219i amintesc toate situa\u021biile din via\u021ba lor care sunt legate cumva de problema dumneavoastr\u0103 (baza de cuno\u0219tin\u021be) \u0219i pe baza acestor cuno\u0219tin\u021be (date) ne ofer\u0103, \u00een esen\u021b\u0103, o predic\u021bie (sfat). Acest tip de sfaturi a fost numit predic\u021bie deoarece persoana care d\u0103 sfatul nu \u0219tie cu siguran\u021b\u0103 ce va urma, ci doar presupune. Experien\u021ba de via\u021b\u0103 arat\u0103 c\u0103 o persoan\u0103 poate avea dreptate, dar poate gre\u0219i \u0219i ea.<\/p>\n

<\/p>\n

Nu ar trebui s\u0103 compar\u0103m re\u021belele neurale cu algoritmul de ramificare (if-else). Acestea sunt lucruri diferite \u0219i au diferen\u021be cheie. Algoritmul de ramificare are o \u201e\u00een\u021belegere\u201d clar\u0103 a ceea ce trebuie f\u0103cut. Voi ilustra cu exemple.<\/p>\n

<\/p>\n

Sarcina. A determina distan\u021ba de fr\u00e2nare a unei ma\u0219ini \u00een func\u021bie de marc\u0103 \u0219i anul de fabrica\u021bie.<\/p>\n

<\/p>\n

Exemplu de lucru al algoritmului de ramificare. Dac\u0103 ma\u0219ina este de marca 1 \u0219i a fost fabricat\u0103 \u00een 2012 \u2013 distan\u021ba sa de fr\u00e2nare este de 10 metri, altfel, dac\u0103 ma\u0219ina este de marca 2 \u0219i a fost fabricat\u0103 \u00een 2011 \u0219i a\u0219a mai departe.<\/p>\n

<\/p>\n

Exemplu de lucru al re\u021belei neurale. Colect\u0103m date despre distan\u021bele de fr\u00e2nare a ma\u0219inilor din ultimii 20 de ani. Pe baza m\u0103rcii \u0219i anului, \u00eentocmim un tabel de tipul \u201emarca-anul de fabrica\u021bie-distan\u021ba de fr\u00e2nare\u201d. Oferim acest tabel re\u021belei neurale \u0219i \u00eencepem s\u0103 o \u00eenv\u0103\u021b\u0103m. \u00cenv\u0103\u021barea se desf\u0103\u0219oar\u0103 astfel: oferim date re\u021belei neurale, dar f\u0103r\u0103 distan\u021ba de fr\u00e2nare. Re\u021beaua \u00eencearc\u0103 s\u0103 prezic\u0103 ce distan\u021b\u0103 de fr\u00e2nare va fi, pe baza tabelului \u00eenc\u0103rcat. Face o predic\u021bie \u0219i pune \u00eentrebarea utilizatorului \u201eAm dreptate?\u201d. \u00cenainte de \u00eentrebare creeaz\u0103 o a patra coloan\u0103 \u2013 coloana de presupunere. Dac\u0103 este corect\u0103 \u2013 atunci scrie 1 \u00een a patra coloan\u0103, dac\u0103 a gre\u0219it \u2013 0. Re\u021beaua neural\u0103 trece la urm\u0103torul eveniment (chiar dac\u0103 a gre\u0219it). A\u0219a se \u00eenva\u021b\u0103 re\u021beaua \u0219i c\u00e2nd \u00eenv\u0103\u021barea este finalizat\u0103 (atins un anumit criteriu de convergen\u021b\u0103), oferim datele despre ma\u0219ina care ne intereseaz\u0103 \u0219i, \u00een final, ob\u021binem r\u0103spunsul.<\/p>\n

<\/p>\n

Pentru a clarifica \u00eentrebarea despre criteriul de convergen\u021b\u0103, men\u021bionez c\u0103 aceasta este o formul\u0103 derivat\u0103 matematic pentru statistic\u0103. Un exemplu izbitor a dou\u0103 formule diferite de convergen\u021b\u0103. Ro\u0219u \u2013 convergen\u021b\u0103 binar\u0103, albastru \u2013 convergen\u021b\u0103 normal\u0103.<\/p>\n

<\/p>\n

\"Analiza
\nDistribu\u021biile binomial\u0103 \u0219i normal\u0103 de probabilitate<\/em><\/p>\n

<\/p>\n

Pentru a fi mai clar, pune\u021bi \u00eentrebarea \u201eCare este probabilitatea \u00eent\u00e2lnirii unui dinosaur?\u201d. Aici sunt dou\u0103 variante de r\u0103spuns. Varianta 1 \u2013 foarte mic\u0103 (graficul albastru). Varianta 2 \u2013 fie \u00eent\u00e2lnesc, fie nu (graficul ro\u0219u).<\/p>\n

<\/p>\n

Desigur, computerul nu este o persoan\u0103 \u0219i \u00eenva\u021b\u0103 diferit. Se disting dou\u0103 tipuri de \u00eenv\u0103\u021bare pentru \u201ecalul de fier\u201d \u2013 \u00eenv\u0103\u021bare pe baza preceden\u021bilor<\/strong> \u0219i \u00eenv\u0103\u021bare deductiv\u0103<\/strong>.<\/p>\n

<\/p>\n

\u00cenv\u0103\u021barea pe baza preceden\u021bilor este un mod de a \u00eenv\u0103\u021ba pe baza legilor matematice. Matematicienii colecteaz\u0103 tabele statistice, fac concluzii \u0219i \u00eencarc\u0103 \u00een re\u021beaua neuronal\u0103 rezultatul \u2013 formula de calcul.<\/p>\n

<\/p>\n

\u00cenv\u0103\u021barea deductiv\u0103 \u2013 \u00eenv\u0103\u021barea se desf\u0103\u0219oar\u0103 complet \u00een re\u021beaua neuronal\u0103 (de la colectarea datelor p\u00e2n\u0103 la analiza acestora). Aici se formeaz\u0103 o tabel\u0103 f\u0103r\u0103 formul\u0103, dar cu statistic\u0103.<\/p>\n

<\/p>\n

O revizuire ampl\u0103 a tehnologiei ar necesita \u00eenc\u0103 c\u00e2teva zeci de articole. P\u00e2n\u0103 acum, avem suficient din asta pentru o \u00een\u021belegere general\u0103.<\/p>\n

<\/p>\n

Neuroplasticitate<\/h3>\n

<\/p>\n

\u00cen biologie exist\u0103 un termen \u2013 neuroplasticitate. Neuroplasticitatea este capacitatea neuronilor (celulele creierului) de a ac\u021biona \u201e\u00een func\u021bie de situa\u021bie\u201d. De exemplu, o persoan\u0103 care \u0219i-a pierdut vederea aude mai bine sunetele, simte mirosurile \u0219i percepe obiectele. Acest lucru se \u00eent\u00e2mpl\u0103 deoarece o parte a creierului (o parte a neuronilor) responsabil\u0103 pentru vedere \u00ee\u0219i redistribuie activitatea pentru o alt\u0103 func\u021bionalitate.<\/p>\n

<\/p>\n

Un exemplu evident de neuroplasticitate \u00een via\u021b\u0103 este Dulcele BrainPort.<\/p>\n

<\/p>\n

\u00cen 2009, Universitatea Wisconsin din Madison a anun\u021bat lansarea unui nou dispozitiv, care dezvolt\u0103 ideile \u201eecranului lingvistic\u201d, \u2013 a primit numele BrainPort. BrainPort func\u021bioneaz\u0103 dup\u0103 urm\u0103torul algoritm: semnalul video provine de la o camer\u0103 \u00een procesor, care controleaz\u0103 zoomul, luminozitatea \u0219i alte parametrii ai imaginii. De asemenea, transform\u0103 semnalele digitale \u00een impulsuri electrice, prelu\u00e2nd efectiv func\u021biile retinei.<\/p>\n

<\/p>\n

\"Analiza
\nDulcele BrainPort cu ochelari \u0219i camer\u0103<\/em><\/p>\n

<\/p>\n

\"Analiza
\nBrainPort \u00een ac\u021biune<\/em><\/p>\n

\n

\r\n \"Reda\u021bi\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

La fel se \u00eent\u00e2mpl\u0103 \u0219i cu computerul. Dac\u0103 re\u021beaua neuronal\u0103 detecteaz\u0103 o schimbare \u00een proces, se adapteaz\u0103 la aceasta. Acesta este avantajul cheie al re\u021belelor neuronale \u00een compara\u021bie cu alte algoritmi \u2013 autonomia. O form\u0103 de umanitate.<\/p>\n

<\/p>\n

Analiza Traficului Criptat<\/h3>\n

<\/p>\n

Analiza Traficului Criptat face parte din sistemul Stealthwatch. Stealthwatch este o solu\u021bie dezvoltat\u0103 de Cisco \u00een domeniul monitoriz\u0103rii \u0219i analizei securit\u0103\u021bii, folosind date de telemetrie din infrastructura de re\u021bea existent\u0103 a unei companii.<\/p>\n

<\/p>\n

Stealthwatch Enterprise se bazeaz\u0103 pe instrumentele Flow Rate License, Flow Collector, Management Console \u0219i Flow Sensor.<\/p>\n

<\/p>\n

\"Analiza
\nInterfa\u021ba Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Problema cript\u0103rii a devenit extrem de urgent\u0103, av\u00e2nd \u00een vedere c\u0103 s-a crescut semnificativ criptarea traficului. \u00cen trecut, doar codul era criptat (\u00een principal), acum \u00eens\u0103 \u00eentregul trafic este criptat, iar separarea datelor \u201eclare\u201d de cele infectate a devenit mult mai dificil\u0103. Un exemplu elocvent este WannaCry, care a folosit Tor pentru a-\u0219i ascunde prezen\u021ba \u00een re\u021bea.<\/p>\n

<\/p>\n

\"Analiza
\nVizualizarea cre\u0219terii cript\u0103rii traficului \u00een re\u021bea<\/em><\/p>\n

<\/p>\n

\"Analiza
\nCriptarea \u00een macroeconomie<\/em><\/p>\n

<\/p>\n

Sistemul Encrypted Traffic Analytics (ETA) este necesar pentru a lucra cu traficul criptat f\u0103r\u0103 a-l decripta. Persoanele r\u0103u inten\u021bionate sunt inteligente \u0219i folosesc algoritmi de criptare rezisten\u021bi, iar a-i sparge nu este doar o problem\u0103, ci \u0219i o sarcin\u0103 costisitoare pentru organiza\u021bii.<\/p>\n

<\/p>\n

Sistemul func\u021bioneaz\u0103 \u00een felul urm\u0103tor. Un anumit trafic intr\u0103 \u00een companie. Acesta ajunge \u00een TLS (transport layer security \u2014 protocol de securitate la nivel de transport). S\u0103 presupunem c\u0103 traficul este criptat. \u00cencerc\u0103m s\u0103 r\u0103spundem la o serie de \u00eentreb\u0103ri legate de conexiunea stabilit\u0103.<\/p>\n

<\/p>\n

\"Analiza
\nPrincipiul de func\u021bionare al sistemului Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Pentru a r\u0103spunde la aceste \u00eentreb\u0103ri, folosim \u00eenv\u0103\u021barea automat\u0103 \u00een acest sistem. Se iau cercet\u0103rile companiei Cisco \u0219i pe baza acestora se creeaz\u0103 o tabel\u0103 cu dou\u0103 rezultate \u2013 trafic malign \u0219i trafic \u201ebun\u201d. Desigur, nu \u0219tim cu certitudine ce tip de trafic a intrat \u00een sistem \u00een momentul curent, dar putem urm\u0103ri istoricul traficului at\u00e2t \u00een companie, c\u00e2t \u0219i \u00een afara ei, apel\u00e2nd la datele de pe scena mondial\u0103. La finalul acestei etape, ob\u021binem o tabel\u0103 imens\u0103 cu date.<\/p>\n

<\/p>\n

\u00cen urma cercet\u0103rii, se identific\u0103 caracteristici distincte \u2013 anumite reguli care pot fi exprimate \u00een form\u0103 matematic\u0103. Aceste reguli vor varia semnificativ \u00een func\u021bie de diferite criterii \u2013 dimensiunea fi\u0219ierelor transmise, tipul de conexiune, \u021bara din care provine acest trafic etc. Ca urmare a lucr\u0103rii, o mas\u0103 uria\u0219\u0103 s-a transformat \u00eentr-un set de formule. Num\u0103rul acestora a sc\u0103zut, dar este insuficient pentru o munc\u0103 confortabil\u0103.<\/p>\n

<\/p>\n

\u00cen continuare, se aplic\u0103 tehnologia de \u00eenv\u0103\u021bare automat\u0103 \u2013 convergen\u021ba formulei \u0219i, ca rezultat al acestei convergen\u021be, ob\u021binem un declan\u0219ator \u2013 un comutator, unde la ie\u0219irea datelor ob\u021binem un \u00eentrerup\u0103tor (fag) \u00een pozi\u021bie ridicat\u0103 sau cobor\u00e2t\u0103.<\/p>\n

<\/p>\n

Etapa rezultant\u0103 \u2013 ob\u021binerea unui set de declan\u0219atoare care acoper\u0103 99% din trafic.<\/p>\n

<\/p>\n

\"Analiza
\nEtapele verific\u0103rii traficului \u00een ETA<\/em><\/p>\n

<\/p>\n

Ca rezultat al lucr\u0103rii, se rezolv\u0103 o alt\u0103 problem\u0103 \u2013 atacul din interior. Nu mai sunt necesari oameni care s\u0103 filtreze traficul manual (\u00een acest moment m\u0103 dezavantajez singur). \u00cen primul r\u00e2nd, nu mai este nevoie s\u0103 cheltuim mul\u021bi bani pe un administrator de sistem calificat (\u00eemi continui dezavantajul). \u00cen al doilea r\u00e2nd, nu mai exist\u0103 pericolul unui atac din interior (cel pu\u021bin par\u021bial).<\/p>\n

<\/p>\n

\"Analiza
\nConceptul \u00eenvechit de Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Acum, s\u0103 analiz\u0103m pe ce se bazeaz\u0103 sistemul.<\/p>\n

<\/p>\n

Sistemul func\u021bioneaz\u0103 pe 4 protocoale de comunicare: TCP\/IP \u2013 protocolul de transfer de date \u00een internet, DNS \u2013 server pentru numele de domeniu, TLS \u2013 protocolul de securitate la nivel de transport, SPLT (SpaceWire Physical Layer Tester) \u2013 tester pentru nivelul fizic de comunicare.<\/p>\n

<\/p>\n

\"Analiza
\nProtocoale care func\u021bioneaz\u0103 cu ETA<\/em><\/p>\n

<\/p>\n

Compara\u021bia se face prin coresponden\u021ba datelor. Protocolele TCP\/IP verific\u0103 reputa\u021bia site-urilor (istoricul vizitelor, scopul cre\u0103rii site-ului etc.), iar datorit\u0103 protocolului DNS, putem exclude \u201eadresele proaste\u201d ale site-urilor. Protocolul TLS func\u021bioneaz\u0103 cu \u201eamprentele\u201d site-ului (fingerprint) \u0219i verific\u0103 site-ul \u00een baza de date a grupului de reac\u021bie la situa\u021bii de urgen\u021b\u0103 (cert). Ultima etap\u0103 a verific\u0103rii conexiunii \u2013 controlul la nivel fizic. Detaliile acestui etap\u0103 nu sunt discutate, dar sensul const\u0103 \u00een urm\u0103toarele: verificarea sinusoidelor \u0219i cosinusoidelor curbelor de transfer de date pe instala\u021bii oscilografice, adic\u0103 datorit\u0103 structurii cererii la nivel fizic, determin\u0103m scopul conexiunii.<\/p>\n

<\/p>\n

Ca urmare a func\u021bion\u0103rii sistemului, putem extrage date din traficul criptat. Datorit\u0103 analizei pachetelor, putem citi maximum de informa\u021bii din c\u00e2mpurile necriptate din pachet. Prin inspectarea pachetului la nivel fizic, afl\u0103m caracteristicile pachetului (par\u021bial sau complet). De asemenea, nu trebuie s\u0103 uit\u0103m de reputa\u021bia site-urilor. Dac\u0103 cererea provine dintr-o surs\u0103 .onion, nu este de \u00eencredere. Pentru a facilita lucrul cu acest tip de date, a fost creat\u0103 o hart\u0103 a riscurilor.<\/p>\n

<\/p>\n

\"Analiza
\nRezultatul func\u021bion\u0103rii ETA<\/em><\/p>\n

<\/p>\n

\u0218i totul p\u0103rea bine, dar s\u0103 discut\u0103m despre desf\u0103\u0219urarea re\u021belei.<\/p>\n

<\/p>\n

Implementarea fizic\u0103 a ETA<\/h3>\n

<\/p>\n

Aici apar o serie de nuan\u021be \u0219i detalii. \u00cen primul r\u00e2nd, la crearea unui astfel de
\nre\u021bele cu software de nivel \u00eenalt, este necesar\u0103 colectarea datelor. Colectarea datelor manual este complet
\nnepractic\u0103, iar implementarea unui sistem de reac\u021bie este deja mai interesant\u0103. \u00cen al doilea r\u00e2nd, datele
\ntrebuie s\u0103 fie abundente, ceea ce \u00eenseamn\u0103 c\u0103 senzorii instala\u021bi \u00een re\u021bea trebuie s\u0103 func\u021bioneze
\nnu doar autonom, ci \u0219i \u00eentr-un mod bine \u021binut sub control, ceea ce prezint\u0103 o serie de dificult\u0103\u021bi.<\/p>\n

<\/p>\n

\"Analiza
\nSenzori \u0219i sistemul Stealthwatch<\/em><\/p>\n

<\/p>\n

Instalarea unui senzor este una, iar configurarea acestuia este o sarcin\u0103 complet diferit\u0103. Pentru configurarea senzorilor, exist\u0103 un complex care func\u021bioneaz\u0103 conform urm\u0103toarei topologii \u2013 ISR = router cu integrarea serviciilor Cisco (Cisco Integrated Services Router); ASR = router cu agregarea serviciilor Cisco (Cisco Aggregation Services Router); CSR = router pentru servicii cloud Cisco (Cisco Cloud Services Router); WLC = controler pentru re\u021bele locale wireless Cisco (Cisco Wireless LAN Controller); IE = comutator industrial Ethernet Cisco (Cisco Industrial Ethernet); ASA = dispozitiv de ap\u0103rare adaptiv\u0103 Cisco (Cisco Adaptive Security Appliance); FTD = solu\u021bie de protec\u021bie \u00eempotriva amenin\u021b\u0103rilor Cisco Firepower Threat Defense; WSA = dispozitiv de securitate web (Web Security Appliance); ISE = modul de servicii de identificare (Identity Services Engine)<\/p>\n

<\/p>\n

\"Analiza
\nMonitorizare complex\u0103 av\u00e2nd \u00een vedere orice date de telemetrie<\/em><\/p>\n

<\/p>\n

Re\u021belele administratorilor de re\u021bea sufer\u0103 de aritmie din cauza num\u0103rului de cuvinte \u201eCisco\u201d din paragraful anterior. Pre\u021bul acestei minuni nu este mic, dar nu despre asta discut\u0103m ast\u0103zi\u2026<\/p>\n

<\/p>\n

Modelarea comportamentului hackerului se va desf\u0103\u0219ura astfel. Stealthwatch monitorizeaz\u0103 cu aten\u021bie activitatea fiec\u0103rui dispozitiv din re\u021bea \u0219i este capabil s\u0103 creeze un model de comportament normal. \u00cen plus, aceast\u0103 solu\u021bie ofer\u0103 o \u00een\u021belegere profund\u0103 a comportamentului necorespunz\u0103tor cunoscut. \u00cen cadrul acestei solu\u021bii sunt utilizate aproximativ 100 de algoritmi diferi\u021bi de analiz\u0103 sau reguli euristice, care vizeaz\u0103 diferite tipuri de comportament al traficului, cum ar fi scanarea, transmiterea cadrelor de alarm\u0103 dintr-un nod, accesul prin atac de tip brute force, captarea presupus\u0103 a datelor, scurgerile de date presupuse etc. Evenimentele de securitate enumerate se \u00eencadreaz\u0103 \u00een categoria alarmei logice de nivel \u00eenalt. Unele evenimente de securitate pot, de asemenea, s\u0103 declan\u0219eze alarme pe cont propriu. Astfel, sistemul este capabil s\u0103 coreleze numeroase incidente anormale izolate \u0219i s\u0103 le adune pentru a determina tipul posibil de atac, precum \u0219i a-l lega de un dispozitiv specific \u0219i de un utilizator (figura 2). Incidentul poate fi examinat ulterior \u00een dinamic\u0103, \u021bin\u00e2nd cont de datele de telemetrie asociate. Aceasta constituie informa\u021bia contextual\u0103 \u00een cea mai bun\u0103 form\u0103 a sa. Medicii, care analizeaz\u0103 un pacient pentru a \u00een\u021belege ce s-a \u00eent\u00e2mplat, nu consider\u0103 simptomele \u00een mod izolat. Ei studiaz\u0103 imaginea de ansamblu pentru a formula un diagnostic. \u00cen mod similar, Stealthwatch \u00eenregistreaz\u0103 fiecare activitate anormal\u0103 \u00een re\u021bea \u0219i o analizeaz\u0103 \u00een context pentru a trimite alerte \u021bin\u00e2nd cont de context, ajut\u00e2nd astfel speciali\u0219tii \u00een securitate s\u0103 stabileasc\u0103 priorit\u0103\u021bi \u00een ceea ce prive\u0219te riscurile.<\/p>\n

<\/p>\n

\"Analiza
\nDetectarea anomaliilor prin modelarea comportamentului<\/em><\/p>\n

<\/p>\n

Dezvoltarea fizic\u0103 a re\u021belei arat\u0103 astfel:<\/p>\n

<\/p>\n

\"Analiza
\nVarianta de desf\u0103\u0219urare a re\u021belei filialelor (simplificat\u0103)<\/em><\/p>\n

<\/p>\n

\"Analiza
\nVarianta de desf\u0103\u0219urare a re\u021belei filialelor<\/em><\/p>\n

<\/p>\n

Re\u021beaua este desf\u0103\u0219urat\u0103, dar exist\u0103 o \u00eentrebare deschis\u0103 despre re\u021beaua neuronal\u0103. S-a organizat o re\u021bea de transfer de date, s-au instalat senzori pe praguri \u0219i a fost lansat\u0103 o sistem\u0103 de colectare a informa\u021biilor, dar re\u021beaua neuronal\u0103 nu a fost implicat\u0103 deocamdat\u0103.<\/p>\n

<\/p>\n

Re\u021bea neuronal\u0103 multilayer<\/h3>\n

<\/p>\n

Sistemul analizeaz\u0103 comportamentul utilizatorului \u0219i al dispozitivului pentru a identifica infect\u0103rile r\u0103u inten\u021bionate, comunica\u021biile cu serverele de comand\u0103, scurgerile de date, precum \u0219i aplica\u021biile poten\u021bial nedorite care func\u021bioneaz\u0103 \u00een infrastructura organiza\u021biei. Exist\u0103 mai multe niveluri de procesare a datelor, la care combina\u021bia de metode de inteligen\u021b\u0103 artificial\u0103, \u00eenv\u0103\u021bare automat\u0103 \u0219i statistic\u0103 matematic\u0103 ajut\u0103 re\u021beaua s\u0103 se autoeduca asupra activit\u0103\u021bii sale normale, astfel \u00eenc\u00e2t s\u0103 poat\u0103 determina activit\u0103\u021bile r\u0103u inten\u021bionate.<\/p>\n

<\/p>\n

Conveyorul de analiz\u0103 a securit\u0103\u021bii re\u021belei, care adun\u0103 date de telemetrie din toate p\u0103r\u021bile re\u021belei extinse, inclusiv din traficul criptat, este o caracteristic\u0103 unic\u0103 a Stealthwatch. Acesta dezvolt\u0103 treptat \u00een\u021belegerea a ceea ce este considerat \u00abanormal\u00bb, apoi clasific\u0103 efectiv elementele individuale ale \u00abactivit\u0103\u021bii amenin\u021b\u0103toare\u00bb \u0219i, \u00een cele din urm\u0103, ia o decizie final\u0103 cu privire la faptul c\u0103 dispozitivul sau utilizatorul au fost, de fapt, compromise. Capacitatea de a integra p\u0103r\u021bile mici, care \u00eempreun\u0103 formeaz\u0103 dovada pentru a lua o decizie final\u0103 cu privire la compromiterea obiectului, este asigurat\u0103 printr-o analiz\u0103 \u0219i corelare foarte atent\u0103.<\/p>\n

<\/p>\n

Aceast\u0103 capacitate este deosebit de important\u0103, deoarece o \u00eentreprindere standard poate primi zilnic un num\u0103r uria\u0219 de alerte, iar investigarea fiec\u0103rei dintre ele este imposibil\u0103 \u2014 resursele speciali\u0219tilor \u00een securitate sunt limitate. Modulul de \u00eenv\u0103\u021bare automat\u0103 proceseaz\u0103 o cantitate imens\u0103 de informa\u021bii aproape \u00een timp real pentru a identifica incidentele critice cu un nivel ridicat de \u00eencredere, av\u00e2nd, de asemenea, capacitatea de a oferi un plan clar de ac\u021biune pentru remedierea operativ\u0103.<\/p>\n

<\/p>\n

S\u0103 examin\u0103m mai \u00een detaliu numeroasele metode de \u00eenv\u0103\u021bare automat\u0103 utilizate de Stealthwatch. Atunci c\u00e2nd un incident este trimis modulului de \u00eenv\u0103\u021bare automat\u0103 Stealthwatch, acesta trece printr-un funnel de analiz\u0103 a securit\u0103\u021bii, \u00een cadrul c\u0103ruia se folose\u0219te o combina\u021bie de metode de \u00eenv\u0103\u021bare automat\u0103 cu supervizare \u0219i f\u0103r\u0103 supervizare.<\/p>\n

<\/p>\n

\"Analiza
\nCapacit\u0103\u021bile \u00eenv\u0103\u021b\u0103rii automate multilayer<\/em><\/p>\n

<\/p>\n

Nivelul 1. Detectarea anomaliilor \u0219i modelarea \u00eencrederii<\/h3>\n

<\/p>\n

La acest nivel, 99 % din trafic este eliminat cu ajutorul detectoarelor statistice de anomalii. Aceste senzori colaboreaz\u0103 pentru a forma modele complexe ale ceea ce este normal \u0219i al ceea ce, invers, este anormal. Cu toate acestea, anomalia nu este neap\u0103rat mali\u021bioas\u0103. Multe dintre evenimentele care au loc \u00een re\u021beaua dumneavoastr\u0103 nu au nicio leg\u0103tur\u0103 cu o amenin\u021bare - sunt pur \u0219i simplu ciudate. Este, a\u0219adar, important s\u0103 se claseze aceste procese f\u0103r\u0103 a \u021bine cont de comportamentul amenin\u021b\u0103tor. Din acest motiv, rezultatele acestor detectoare sunt supuse unei analize suplimentare pentru a \u00eenregistra comportamente ciudate care pot fi explicate \u0219i c\u0103rora li se poate acorda \u00eencredere. \u00cen cele din urm\u0103, doar o mic\u0103 parte dintre cele mai importante fluxuri \u0219i solicit\u0103ri trec la nivelurile 2 \u0219i 3. F\u0103r\u0103 utilizarea unor astfel de metode de \u00eenv\u0103\u021bare automat\u0103, costurile opera\u021bionale de separare a semnalului de zgomot ar fi fost prea mari.<\/p>\n

<\/p>\n

Detectarea anomaliilor.<\/strong> \u00cen prima etap\u0103, detectarea anomaliilor implic\u0103 utilizarea metodelor statistice de \u00eenv\u0103\u021bare automat\u0103 pentru a separa traficul statistic normal de cel anormal. Peste 70 de detectoare separate proceseaz\u0103 datele de telemetrie colectate de Stealthwatch despre traficul care trece prin perimeterul re\u021belei dumneavoastr\u0103, separ\u00e2nd traficul intern al sistemului de nume de domenii (DNS) \u0219i datele serverului proxy, atunci c\u00e2nd este cazul. Fiecare solicitare este procesat\u0103 de peste 70 de detectoare, fiecare dintre acestea folosind propriul algoritm statistic pentru a forma o evaluare a anomaliilor detectate. Aceste evalu\u0103ri sunt consolidate, iar rezultatul aplic\u0103rii mai multor metode statistice duce la o evaluare unic\u0103 pentru fiecare solicitare \u00een parte. Apoi, aceast\u0103 evaluare cumulat\u0103 este utilizat\u0103 pentru a separa traficul normal de cel anormal.<\/p>\n

<\/p>\n

Modelarea \u00eencrederii.<\/strong> Apoi, cererile similare sunt grupate, iar evaluarea cumulat\u0103 a anomaliilor pentru aceste grupuri este definit\u0103 ca fiind media pe termen lung. Pe parcursul timpului, mai multe cereri sunt supuse analizei pentru a determina media pe termen lung, ceea ce permite reducerea alarmelor false pozitive \u0219i false negative. Rezultatele model\u0103rii \u00eencrederii sunt utilizate pentru a selecta un subset de trafic, evaluarea anomaliilor c\u0103ruia dep\u0103\u0219e\u0219te o anumit\u0103 valoare limit\u0103 definit\u0103 dinamic, pentru a fi mutat la un nivel superior de procesare.<\/p>\n

<\/p>\n

Nivelul 2. Clasificarea evenimentelor \u0219i modelarea obiectelor<\/h3>\n

<\/p>\n

La acest nivel, are loc clasificarea rezultatelor ob\u021binute \u00een etapele anterioare, asociind acestea unor evenimente mali\u021bioase specifice. Clasificarea evenimentelor se efectueaz\u0103 pe baza valorilor atribuite de clasificatoarele \u00eenv\u0103\u021b\u0103rii automate, av\u00e2nd ca scop men\u021binerea unui indicator constant de precizie peste 90%. Acestea includ:<\/p>\n

<\/p>\n