{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sk\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Anal\u00fdza za\u0161ifrovanej prev\u00e1dzky bez jej de\u0161ifrovania","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Syst\u00e9m na anal\u00fdzu prenosu bez jeho de\u0161ifrovania. Tento met\u00f3d sa jednoducho naz\u00fdva \u2013 \u201estrojov\u00e9 u\u010denie\u201c. Uk\u00e1zalo sa, \u017ee ak sa do \u0161peci\u00e1lneho klasifik\u00e1tora dod\u00e1 ve\u013emi ve\u013ek\u00e9 mno\u017estvo r\u00f4zneho prenosu, syst\u00e9m s ve\u013emi vysokou pravdepodobnos\u0165ou dok\u00e1\u017ee detegova\u0165 aktivity \u0161kodliv\u00e9ho k\u00f3du vo vn\u00fatri \u0161ifrovan\u00e9ho prenosu.<\/p>\n

<\/p>\n

\"Anal\u00fdza<\/p>\n

<\/a><\/noindex><\/p>\n

Sie\u0165ov\u00e9 hrozby sa zmenili a stali sa \u201einteligentnej\u0161\u00edmi\u201c. V poslednom \u010dase sa zmenila samotn\u00e1 koncepcia \u00fatoku a obrany. Po\u010det udalost\u00ed v sieti vzr\u00e1stol nieko\u013ekokr\u00e1t. \u00datoky sa stali rafinovanej\u0161\u00edmi a hackeri maj\u00fa \u0161ir\u0161\u00ed dosah \u00fatokov.<\/p>\n

<\/p>\n

Pod\u013ea \u0161tatistiky Cisco, zlodeji v poslednom roku zv\u00fd\u0161ili po\u010det \u0161kodliv\u00fdch programov, ktor\u00e9 pou\u017e\u00edvaj\u00fa na svoju \u010dinnos\u0165, trikr\u00e1t, presnej\u0161ie na jej ukrytie \u2013 \u0161ifrovanie. Z te\u00f3rie vieme, \u017ee \u201espr\u00e1vny\u201c \u0161ifrovac\u00ed algoritmus nem\u00f4\u017ee by\u0165 prelomen\u00fd. Aby sme pochopili, \u010do sa skr\u00fdva vo vn\u00fatri \u0161ifrovan\u00e9ho prenosu, je potrebn\u00e9 ho bu\u010f de\u0161ifrova\u0165 s poznan\u00edm k\u013e\u00fa\u010da, alebo sa pok\u00fasi\u0165 ho de\u0161ifrova\u0165 r\u00f4znymi trikmi, alebo priamym \u00fatokom, alebo vyu\u017eit\u00edm nejak\u00fdch zranite\u013enost\u00ed v kryptografick\u00fdch protokoloch.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nObraz sie\u0165ov\u00fdch hrozieb na\u0161ich \u010dias<\/em><\/p>\n

<\/p>\n

Strojov\u00e9 u\u010denie<\/h3>\n

<\/p>\n

Poznaj technol\u00f3giu osobne! Predt\u00fdm, ne\u017e budeme hovori\u0165 o tom, ako funguje technol\u00f3gia de\u0161ifrovania zalo\u017een\u00e1 na strojovom u\u010den\u00ed, je potrebn\u00e9 rozobra\u0165, ako vlastne funguje technol\u00f3gia neur\u00f3nov\u00fdch siet\u00ed.<\/p>\n

<\/p>\n

Strojov\u00e9 u\u010denie (Machine Learning) je rozsiahly pododdiel umelej inteligencie, ktor\u00fd sk\u00fama met\u00f3dy vytv\u00e1rania algoritmov schopn\u00fdch u\u010di\u0165 sa. T\u00e1to veda je zameran\u00e1 na vytv\u00e1ranie matematick\u00fdch modelov \u201eu\u010denia\u201c po\u010d\u00edta\u010da. Cie\u013eom u\u010denia je predpoveda\u0165 nie\u010do. V \u013eudskej re\u010di naz\u00fdvame tento proces slovom \u201em\u00fadros\u0165\u201c<\/em>. M\u00fadros\u0165 sa prejavuje u \u013eud\u00ed, ktor\u00ed pre\u017eili dos\u0165 rokov (dvojro\u010dn\u00e9 die\u0165a nem\u00f4\u017ee by\u0165 m\u00fadre). Ke\u010f sa obraciame s radou na star\u0161\u00edch priate\u013eov, poskytujeme im nejak\u00e9 inform\u00e1cie o udalosti (vstupn\u00e9 \u00fadaje) a pros\u00edme ich o pomoc. Oni si na opl\u00e1tku spomen\u00fa na v\u0161etky situ\u00e1cie zo \u017eivota, ktor\u00e9 s\u00fa nejako spojen\u00e9 s va\u0161\u00edm probl\u00e9mom (z\u00e1klad\u0148a poznatkov) a na z\u00e1klade t\u00fdchto poznatkov (\u00fadajov) n\u00e1m poskytuj\u00fa ak\u00fdsi predpoklad (radu). Tento typ rady sa naz\u00fdva predpokladom, preto\u017ee osoba, ktor\u00e1 radu poskytuje, nevie s istotou, \u010do sa stane, ale iba predpoklad\u00e1. \u017divotn\u00e1 sk\u00fasenos\u0165 ukazuje, \u017ee \u010dlovek m\u00f4\u017ee ma\u0165 pravdu, ale m\u00f4\u017ee sa aj m\u00fdli\u0165.<\/p>\n

<\/p>\n

Nehod\u00ed sa porovn\u00e1va\u0165 neur\u00f3nov\u00e9 siete s vetvov\u00fdm algoritmom (if-else). Toto s\u00fa odli\u0161n\u00e9 veci a existuj\u00fa medzi nimi k\u013e\u00fa\u010dov\u00e9 rozdiely. Vetvov\u00fd algoritmus m\u00e1 jasn\u00e9 \u201eporozumenie\u201c toho, \u010do robi\u0165. Vyjav\u00edm to na pr\u00edkladoch.<\/p>\n

<\/p>\n

\u00daloha. Ur\u010dte brzdn\u00fa dr\u00e1hu automobilu pod\u013ea jeho zna\u010dky a roku v\u00fdroby.<\/p>\n

<\/p>\n

Pr\u00edklad fungovania vetvov\u00e9ho algoritmu. Ak je automobil zna\u010dky 1 a bol vyroben\u00fd v roku 2012 - jeho brzdn\u00e1 dr\u00e1ha je 10 metrov, inak, ak je automobil zna\u010dky 2 a bol vyroben\u00fd v roku 2011 a tak \u010falej.<\/p>\n

<\/p>\n

Pr\u00edklad fungovania neur\u00f3novej siete. Zbierame \u00fadaje o brzdn\u00fdch dr\u00e1hach automobilov za posledn\u00fdch 20 rokov. Pod\u013ea zna\u010dky a roku zostavujeme tabu\u013eku vo forme \u201ezna\u010dka-rok v\u00fdroby-brzdn\u00e1 dr\u00e1ha\u201c. Predklad\u00e1me t\u00fato tabu\u013eku neur\u00f3novej sieti a za\u010d\u00edname ju u\u010di\u0165. Vzdel\u00e1vanie prebieha nasledovne: predklad\u00e1me \u00fadaje do neur\u00f3novej siete, ale bez brzdnej dr\u00e1hy. Neur\u00f3nov\u00e1 sie\u0165 sa pok\u00fa\u0161a predpoveda\u0165, ak\u00e1 bude brzdn\u00e1 dr\u00e1ha, na z\u00e1klade tabu\u013eky, ktor\u00fa do nej nahr\u00e1me. Predpoklad\u00e1 nie\u010do a kladie pou\u017e\u00edvate\u013eovi ot\u00e1zku: \u201eM\u00e1m pravdu?\u201c. Pred ot\u00e1zkou vytv\u00e1ra \u0161tvrt\u00fd st\u013apec - st\u013apec odhadu. Ak m\u00e1 pravdu - zap\u00ed\u0161e 1 do \u0161tvrt\u00e9ho st\u013apca, ak sa m\u00fdli - 0. Neur\u00f3nov\u00e1 sie\u0165 prech\u00e1dza k nasleduj\u00facej udalosti (aj ak sa m\u00fdlila). Takto sa sie\u0165 u\u010d\u00ed a ke\u010f je vzdel\u00e1vanie skon\u010den\u00e9 (dosiahnut\u00fd ur\u010dit\u00fd krit\u00e9rium konvergencie), predklad\u00e1me \u00fadaje o zauj\u00edmaj\u00facom automobile a nakoniec dost\u00e1vame odpove\u010f.<\/p>\n

<\/p>\n

Aby som objasnil ot\u00e1zku o krit\u00e9riu konvergencie, vysvetl\u00edm, \u017ee je to matematicky odvoden\u00e1 formula pre \u0161tatistiku. Jasn\u00fdm pr\u00edkladom s\u00fa dve r\u00f4zne formule konvergencie. \u010cerven\u00e1 - bin\u00e1rna konvergencia, modr\u00e1 - norm\u00e1lna konvergencia.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nBinomick\u00e9 a norm\u00e1lne rozdelenia pravdepodobnosti<\/em><\/p>\n

<\/p>\n

Aby to bolo jasnej\u0161ie, polo\u017ete ot\u00e1zku: \u201eAk\u00e1 je pravdepodobnos\u0165 stretnutia dinosaura?\u201c. Existuj\u00fa 2 mo\u017enosti odpovede. Mo\u017enos\u0165 1 \u2013 ve\u013emi mal\u00e1 (modr\u00e1 krivka). Mo\u017enos\u0165 2 \u2013 bu\u010f sa stretnem, alebo nie (\u010derven\u00e1 krivka).<\/p>\n

<\/p>\n

Samozrejme, po\u010d\u00edta\u010d nie je \u010dlovek a u\u010d\u00ed sa inak. Rozli\u0161uj\u00fa sa 2 typy u\u010denia \u017eelezn\u00e9ho ko\u0148a \u2013 u\u010denie sa na z\u00e1klade precedensov<\/strong> a dedukt\u00edvne u\u010denie<\/strong>.<\/p>\n

<\/p>\n

U\u010denie sa na z\u00e1klade precedensov \u2013 to je sp\u00f4sob u\u010denia pod\u013ea matematick\u00fdch z\u00e1konov. Matematiky zhroma\u017e\u010fuj\u00fa tabu\u013eky \u0161tatistiky, vyvodzuj\u00fa z\u00e1very a nahr\u00e1vaj\u00fa do neur\u00f3novej siete v\u00fdsledok \u2013 vzorec na v\u00fdpo\u010det.<\/p>\n

<\/p>\n

Dedukt\u00edvne u\u010denie \u2013 u\u010denie prebieha celkom v neur\u00f3nke (od zberu d\u00e1t po ich anal\u00fdzu). Tu sa formuje tabu\u013eka bez vzorca, ale so \u0161tatistikou.<\/p>\n

<\/p>\n

\u0160irok\u00fd preh\u013ead technol\u00f3gie by si vy\u017eadoval e\u0161te nieko\u013eko desiatok \u010dl\u00e1nkov. Zatia\u013e n\u00e1m sta\u010d\u00ed aj toto na z\u00edskanie celkov\u00e9ho preh\u013eadu.<\/p>\n

<\/p>\n

Neuroplasticita<\/h3>\n

<\/p>\n

V biol\u00f3gii existuje pojem \u2013 neuroplasticita. Neuroplasticita je schopnos\u0165 neur\u00f3nov (buniek mozgu) kona\u0165 \u201epod\u013ea situ\u00e1cie\u201c. Napr\u00edklad, osoba, ktor\u00e1 pri\u0161la o zrak, lep\u0161ie po\u010duje zvuky, c\u00edti v\u00f4ne a vn\u00edma predmety. To sa deje preto, \u017ee \u010das\u0165 mozgu (\u010das\u0165 neur\u00f3nov) zodpovedaj\u00faca za zrak prerad\u00ed svoju pr\u00e1cu na in\u00fa funk\u010dnos\u0165.<\/p>\n

<\/p>\n

Jasn\u00fd pr\u00edklad neuroplasticity v \u017eivote \u2014 cukr\u00edk BrainPort.<\/p>\n

<\/p>\n

V roku 2009 Univerzita Wisconsin-Madison ozn\u00e1mila vydanie nov\u00e9ho zariadenia, rozv\u00edjaj\u00faceho my\u0161lienky \u201ejazykovej obrazovky\u201c, \u2013 dostalo n\u00e1zov BrainPort. BrainPort funguje na nasleduj\u00facom algoritme: video sign\u00e1l prich\u00e1dza z kamery do procesora, ktor\u00fd riadi pribl\u00ed\u017eenie, jas a \u010fal\u0161ie parametre obrazu. Taktie\u017e prev\u00e1dza digit\u00e1lne sign\u00e1ly na elektrick\u00e9 impulzy, \u010d\u00edm v podstate preber\u00e1 funkcie sietnice.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nCukr\u00edk BrainPort s okuliarmi a kamerou<\/em><\/p>\n

<\/p>\n

\"Anal\u00fdza
\nBrainPort v akcii<\/em><\/p>\n

\n

\r\n \"Prehrajte\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Rovnako je to aj s po\u010d\u00edta\u010dom. Ak neur\u00f3nov\u00e1 sie\u0165 c\u00edti zmenu v procese, prisp\u00f4sob\u00ed sa mu. To je k\u013e\u00fa\u010dov\u00e1 v\u00fdhoda neur\u00f3nov\u00fdch siet\u00ed v porovnan\u00ed s in\u00fdmi algoritmami \u2013 auton\u00f3mnos\u0165. Ak\u00fdsi druh \u013eudskosti.<\/p>\n

<\/p>\n

Analytika \u0161ifrovan\u00e9ho prenosu<\/h3>\n

<\/p>\n

Analyzovanie \u0161ifrovan\u00e9ho prenosu je s\u00fa\u010das\u0165ou syst\u00e9mu Stealthwatch. Stealthwatch je v\u00fdvoj spolo\u010dnosti Cisco v oblasti bezpe\u010dnostn\u00e9ho monitorovania a analytiky, ktor\u00fd vyu\u017e\u00edva podnikov\u00e9 telemetrick\u00e9 \u00fadaje z existuj\u00facej sie\u0165ovej infra\u0161trukt\u00fary.<\/p>\n

<\/p>\n

Z\u00e1klad Stealthwatch Enterprise tvoria n\u00e1stroje Flow Rate License, Flow Collector, Management Console a Flow Sensor.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nRozhranie Cisco Stealthwatch<\/em><\/p>\n

<\/p>\n

Probl\u00e9m so \u0161ifrovan\u00edm sa stal ve\u013emi naliehav\u00fdm, preto\u017ee sa za\u010dalo ove\u013ea viac pren\u00e1\u0161a\u0165 \u0161ifrovan\u00e9ho prenosu. Kedysi sa \u0161ifroval iba k\u00f3d (predov\u0161etk\u00fdm), teraz sa \u0161ifruje cel\u00fd prenos a oddeli\u0165 \"\u010dist\u00e9\" d\u00e1ta od v\u00edrusov sa stalo nekone\u010dne zlo\u017eitej\u0161\u00edm. V\u00fdrazn\u00fdm pr\u00edkladom je WannaCry, ktor\u00fd pou\u017e\u00edval Tor na skrytie svojej pr\u00edtomnosti v sieti.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nVizualiz\u00e1cia rastu \u0161ifrovania prenosu v sieti<\/em><\/p>\n

<\/p>\n

\"Anal\u00fdza
\n\u0160ifrovanie v makroekon\u00f3mii<\/em><\/p>\n

<\/p>\n

Syst\u00e9m Encrypted Traffic Analytics (ETA) je potrebn\u00fd pr\u00e1ve na pr\u00e1cu so \u0161ifrovan\u00fdm prenosom bez jeho de\u0161ifrovania. \u00dato\u010dn\u00edci s\u00fa inteligentn\u00ed a pou\u017e\u00edvaj\u00fa kryptograficky siln\u00e9 \u0161ifrovacie algoritmy a ich prelomenie nie je len probl\u00e9mom, ale aj mimoriadne vysok\u00fdmi n\u00e1kladmi pre organiz\u00e1cie.<\/p>\n

<\/p>\n

Syst\u00e9m funguje nasledovne. Do spolo\u010dnosti prich\u00e1dza ak\u00fdko\u013evek prenos. Ten sa dost\u00e1va do TLS (transport layer security \u2014 protokol na ochranu transportnej \u00farovne). Predpokladajme, \u017ee je prenos \u0161ifrovan\u00fd. Sna\u017e\u00edme sa zodpoveda\u0165 na nieko\u013eko ot\u00e1zok o tom, ak\u00e9 pripojenie bolo vytvoren\u00e9.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nPrinc\u00edp fungovania syst\u00e9mu Encrypted Traffic Analytics (ETA)<\/em><\/p>\n

<\/p>\n

Aby sme na tieto ot\u00e1zky odpovedali, pou\u017e\u00edvame v tomto syst\u00e9me strojov\u00e9 u\u010denie. Vyu\u017e\u00edvaj\u00fa sa v\u00fdskumy spolo\u010dnosti Cisco a na z\u00e1klade t\u00fdchto v\u00fdskumov sa vytv\u00e1ra tabu\u013eka s 2 v\u00fdsledn\u00fdmi \u2013 malware a \"dobrim\" prenosom. Samozrejme, nevieme s istotou, ak\u00fd prenos sa dostal do syst\u00e9mu pr\u00e1ve v aktu\u00e1lnom okamihu, ale m\u00f4\u017eeme sledova\u0165 hist\u00f3riu prenosu ako v spolo\u010dnosti, tak aj mimo nej pomocou \u00fadajov zo svetovej ar\u00e9ny. Na v\u00fdstupe z tohto etapu dost\u00e1vame obrovsk\u00fa tabu\u013eku s \u00fadajmi.<\/p>\n

<\/p>\n

V\u00fdsledkom v\u00fdskumu s\u00fa charakteristick\u00e9 znaky \u2013 ur\u010dit\u00e9 pravidl\u00e1, ktor\u00e9 mo\u017eno zap\u00edsa\u0165 v matematickej forme. Tieto pravidl\u00e1 sa bud\u00fa zna\u010dne l\u00ed\u0161i\u0165 pod\u013ea r\u00f4znych krit\u00e9ri\u00ed \u2013 ve\u013ekosti pren\u00e1\u0161an\u00fdch s\u00faborov, typu pripojenia, krajiny, z ktorej pr\u00fadi tento prenos a podobne. V d\u00f4sledku pr\u00e1ce sa obrovsk\u00e1 tabu\u013eka premenila na s\u00fabor mno\u017estva vzorcov. T\u00fdchto vzorcov ubudlo, ale na pohodln\u00fa pr\u00e1cu je to st\u00e1le m\u00e1lo.<\/p>\n

<\/p>\n

N\u00e1sledne sa aplikuje technol\u00f3gia strojov\u00e9ho u\u010denia \u2013 konvergencia vzorca a na z\u00e1klade v\u00fdsledku konvergencie z\u00edskavame sp\u00fa\u0161\u0165a\u010d \u2013 prep\u00edna\u010d, kde pri v\u00fdstupe \u00fadajov dost\u00e1vame vyp\u00edna\u010d (vlajku) v zdvihnutej alebo spustenej polohe.<\/p>\n

<\/p>\n

V\u00fdsledn\u00e1 f\u00e1za \u2013 z\u00edskanie s\u00faboru sp\u00fa\u0161\u0165a\u010dov, ktor\u00e9 pokryli 99 % prenosu.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nF\u00e1zy kontroly prenosu v ETA<\/em><\/p>\n

<\/p>\n

V d\u00f4sledku pr\u00e1ce sa rie\u0161i e\u0161te jedna ot\u00e1zka \u2013 \u00fatok zvn\u00fatra. U\u017e nie s\u00fa potrebn\u00ed \u013eudia uprostred, ktor\u00ed filtruj\u00fa prenos manu\u00e1lne (v tomto bode sa obhajujem s\u00e1m). Po prv\u00e9, u\u017e nie je treba m\u00ed\u0148a\u0165 ve\u013ea pe\u0148az\u00ed na schopn\u00e9ho syst\u00e9mov\u00e9ho administr\u00e1tora (pokra\u010dujem v obhajobe). Po druh\u00e9, neexistuje nebezpe\u010denstvo hackovania zvn\u00fatra (aspo\u0148 \u010diasto\u010dne).<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nZastaral\u00e1 koncepcia Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Teraz sa po\u010fme pozrie\u0165, na \u010dom je syst\u00e9m zalo\u017een\u00fd.<\/p>\n

<\/p>\n

Syst\u00e9m funguje na 4 komunika\u010dn\u00fdch protokoloch: TCP\/IP \u2013 protokol prenosu d\u00e1t v internete, DNS \u2013 server dom\u00e9nov\u00fdch mien, TLS \u2013 protokol ochrany na transportnej \u00farovni, SPLT (SpaceWire Physical Layer Tester) \u2013 tester fyzickej \u00farovne prenosu.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nProtokoly pracuj\u00face s ETA<\/em><\/p>\n

<\/p>\n

Porovnanie prebieha porovn\u00e1van\u00edm \u00fadajov. Pod\u013ea protokolov TCP\/IP sa kontroluje reput\u00e1cia str\u00e1nok (hist\u00f3ria n\u00e1v\u0161tev, cie\u013e vytvorenia str\u00e1nky a pod.), v\u010faka protokolu DNS m\u00f4\u017eeme vyl\u00fa\u010di\u0165 \u201ezl\u00fdch\u201c adresy str\u00e1nok. Protokol TLS pracuje s \u201eodtla\u010dkami\u201c str\u00e1nky (fingerprint) a kontroluje str\u00e1nku v datab\u00e1ze po\u010d\u00edta\u010dovej skupiny reakcie na n\u00fadzov\u00e9 situ\u00e1cie (cert). Posledn\u00e1 f\u00e1za kontroly spojenia \u2013 kontrola na fyzickej \u00farovni. Detaily pr\u00e1ce tejto f\u00e1zy nie s\u00fa uveden\u00e9, ale zmysel spo\u010d\u00edva v nasleduj\u00facom: kontrola s\u00ednusoid a kos\u00ednusoid kriviek prenosu d\u00e1t na oscila\u010dn\u00fdch zariadeniach, t.j. v\u010faka \u0161trukt\u00fare po\u017eiadavky na fyzickej \u00farovni ur\u010dujeme cie\u013e spojenia.<\/p>\n

<\/p>\n

V\u010faka fungovaniu syst\u00e9mu m\u00f4\u017eeme z\u00edska\u0165 d\u00e1ta zo \u0161ifrovan\u00e9ho toku. Analyzovan\u00edm paketov m\u00f4\u017eeme pre\u010d\u00edta\u0165 maximum inform\u00e1ci\u00ed z ne\u0161ifrovan\u00fdch pol\u00ed v samotnom pakete. Pomocou in\u0161pekcie paketu na fyzickej \u00farovni zist\u00edme charakteristiky paketu (\u010diasto\u010dne alebo \u00faplne). Taktie\u017e netreba zab\u00fada\u0165 na reput\u00e1ciu str\u00e1nok. Ak po\u017eiadavka pri\u0161la z nejakej .onion adresy, nie je dobr\u00e9 jej d\u00f4verova\u0165. Na jednoduch\u0161iu pr\u00e1cu s tak\u00fdmito \u00fadajmi bola vytvoren\u00e1 mapa riz\u00edk.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nV\u00fdsledok funkcie ETA<\/em><\/p>\n

<\/p>\n

A v\u0161etko sa zd\u00e1 by\u0165 v poriadku, ale po\u010fme sa porozpr\u00e1va\u0165 o nasadzovan\u00ed siete.<\/p>\n

<\/p>\n

Fyzick\u00e1 realiz\u00e1cia ETA<\/h3>\n

<\/p>\n

Tu sa objavuje mno\u017estvo nu\u00e1ns a detailov. Po prv\u00e9, pri vytv\u00e1ran\u00ed tak\u00e9hoto typu
\nsiete s vysoce \u00farov\u0148ov\u00fdm softv\u00e9rom je potrebn\u00fd zber \u00fadajov. Zbiera\u0165 d\u00e1ta manu\u00e1lne je \u00faplne
\nneprijate\u013en\u00e9, ale implementova\u0165 syst\u00e9m reakcie je u\u017e zauj\u00edmavej\u0161ie. Po druh\u00e9, \u00fadajov
\nmus\u00ed by\u0165 ve\u013ea, a to znamen\u00e1, \u017ee nain\u0161talovan\u00e9 senzory siete musia pracova\u0165
\nnielen auton\u00f3mne, ale aj v jemne nastavenom re\u017eime, \u010do prin\u00e1\u0161a nieko\u013eko komplik\u00e1ci\u00ed.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nSenzory a syst\u00e9m Stealthwatch<\/em><\/p>\n

<\/p>\n

Nain\u0161talova\u0165 senzor je jedna vec, ale nastavi\u0165 ho je \u00faplne in\u00e1 \u00faloha. Na nastavenie senzorov existuje komplex, ktor\u00fd funguje pod\u013ea nasleduj\u00facej topol\u00f3gie \u2013 ISR = smerova\u010d s integr\u00e1ciou slu\u017eieb Cisco (Cisco Integrated Services Router); ASR = smerova\u010d s agreg\u00e1ciou slu\u017eieb Cisco (Cisco Aggregation Services Router); CSR = smerova\u010d cloudov\u00fdch slu\u017eieb Cisco (Cisco Cloud Services Router); WLC = kontrol\u00e9r bezdr\u00f4tov\u00fdch miestnych siet\u00ed Cisco (Cisco Wireless LAN Controller); IE = priemyseln\u00fd Ethernet prep\u00edna\u010d Cisco (Cisco Industrial Ethernet); ASA = zariadenie adapt\u00edvnej ochrany Cisco (Cisco Adaptive Security Appliance); FTD = rie\u0161enie na ochranu pred hrozbami Cisco Firepower Threat Defense; WSA = zariadenie ochrany webov\u00e9ho toku (Web Security Appliance); ISE = modul slu\u017eieb identifik\u00e1cie (Identity Services Engine)<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nKomplexn\u00e9 monitorovanie so zoh\u013eadnen\u00edm ak\u00fdchko\u013evek telemetrick\u00fdch d\u00e1t<\/em><\/p>\n

<\/p>\n

U sie\u0165ov\u00fdch administr\u00e1torov za\u010d\u00edna arytmia z mno\u017estva slov \u201eCisco\u201c v predch\u00e1dzaj\u00facom odseku. Cena tohto z\u00e1zraku nie je mal\u00e1, ale dnes o tom nebudeme hovori\u0165...<\/p>\n

<\/p>\n

Modelovanie spr\u00e1vania hackera bude prebieha\u0165 nasledovne. Stealthwatch starostlivo sleduje aktivitu ka\u017ed\u00e9ho zariadenia v sieti a je schopn\u00fd vytvori\u0165 vzor norm\u00e1lneho spr\u00e1vania. Okrem toho toto rie\u0161enie zabezpe\u010duje hlbok\u00e9 pochopenie zn\u00e1meho nespr\u00e1vneho spr\u00e1vania. V r\u00e1mci tohto rie\u0161enia sa vyu\u017e\u00edva pribli\u017ene 100 r\u00f4znych algoritmov anal\u00fdzy alebo heuristick\u00fdch pravidiel, ktor\u00e9 sa t\u00fdkaj\u00fa r\u00f4znych typov spr\u00e1vania prev\u00e1dzky, ako je skenovanie, pren\u00e1\u0161anie r\u00e1mcov havarijnej signaliz\u00e1cie z uzla, prihlasovanie met\u00f3dou h\u00e1dania hesla, predpokladan\u00e9 zachyt\u00e1vanie \u00fadajov, predpokladan\u00e9 \u00faniky \u00fadajov at\u010f. Uveden\u00e9 bezpe\u010dnostn\u00e9 udalosti spadaj\u00fa pod kateg\u00f3riu logickej alarmu vysok\u00e9ho \u00farovne. Niektor\u00e9 bezpe\u010dnostn\u00e9 udalosti m\u00f4\u017eu samy o sebe spusti\u0165 alarm. T\u00fdm p\u00e1dom, syst\u00e9m dok\u00e1\u017ee korelovat mno\u017estvo izolovan\u00fdch anom\u00e1lnych incidentov a zoskupi\u0165 ich do jedn\u00e9ho celku, aby ur\u010dil mo\u017en\u00fd typ \u00fatoku a priradil ho konkr\u00e9tnemu zariadeniu a pou\u017e\u00edvate\u013eovi (obr\u00e1zok 2). N\u00e1sledne je mo\u017en\u00e9 incident sk\u00fama\u0165 v dynamike a so zoh\u013eadnen\u00edm s\u00favisiacich d\u00e1t telemetrie. T\u00fdmto sa vytv\u00e1ra kontextu\u00e1lne inform\u00e1cie v jej najlep\u0161ej podobe. Doktori, ktor\u00ed vy\u0161etria pacienta, aby pochopili, \u010do sa stalo, neprij\u00edmaj\u00fa sympt\u00f3my samostatne. Sk\u00famaj\u00fa celkov\u00fd obraz na stanovenie diagn\u00f3zy. Rovnako, Stealthwatch zaznamen\u00e1va ka\u017ed\u00fa anom\u00e1lnu aktivitu v sieti a sk\u00fama ju v komplexe, aby posielal alarmy so zoh\u013eadnen\u00edm kontextu, \u010d\u00edm pom\u00e1ha odborn\u00edkom na bezpe\u010dnos\u0165 ur\u010dova\u0165 priority pre rizik\u00e1.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nDetekcia anom\u00e1li\u00ed pomocou modelovania spr\u00e1vania<\/em><\/p>\n

<\/p>\n

Fyzick\u00e1 implanta\u010dn\u00e1 sie\u0165 vyzer\u00e1 takto:<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nVariant implanta\u010dnej siete pobo\u010dnej siete (zjednodu\u0161en\u00e9)<\/em><\/p>\n

<\/p>\n

\"Anal\u00fdza
\nVariant implanta\u010dnej siete pobo\u010dnej siete<\/em><\/p>\n

<\/p>\n

Sie\u0165 je implementovan\u00e1, ale ost\u00e1va otvoren\u00e1 ot\u00e1zka oh\u013eadom neur\u00f3nky. Organizovali sme sie\u0165 prenosu d\u00e1t, nain\u0161talovali senzor na prahoch a spustili syst\u00e9m zberu inform\u00e1ci\u00ed, ale neur\u00f3nka sa zatia\u013e nezapojila.<\/p>\n

<\/p>\n

Viac\u00farov\u0148ov\u00e1 neur\u00f3nov\u00e1 sie\u0165<\/h3>\n

<\/p>\n

Syst\u00e9m analyzuje spr\u00e1vanie pou\u017e\u00edvate\u013ea a zariadenia na identifik\u00e1ciu \u0161kodliv\u00fdch infekci\u00ed, komunik\u00e1cie s komandn\u00fdmi servermi, \u00fanikov d\u00e1t, ako aj potenci\u00e1lne ne\u017eiaducich aplik\u00e1ci\u00ed, ktor\u00e9 funguj\u00fa v infra\u0161trukt\u00fare organiz\u00e1cie. Existuje nieko\u013eko \u00farovn\u00ed spracovania d\u00e1t, na ktor\u00fdch kombin\u00e1cia met\u00f3d umelej inteligencie, strojov\u00e9ho u\u010denia a matematickej \u0161tatistiky pom\u00e1ha sieti samo\u010dinne sa nau\u010di\u0165 svoju norm\u00e1lnu aktivitu, aby mohla ur\u010dova\u0165 \u0161kodliv\u00fa aktivitu.<\/p>\n

<\/p>\n

Bezpe\u010dnostn\u00fd analytick\u00fd kan\u00e1l, ktor\u00fd zhroma\u017e\u010fuje d\u00e1ta telemetrie zo v\u0161etk\u00fdch \u010dast\u00ed roz\u0161\u00edrenej siete, vr\u00e1tane \u0161ifrovan\u00e9ho prenosu, je jedine\u010dnou \u010drtou Stealthwatch. Postupne vytv\u00e1ra pochopenie toho, \u010do je 'anomalick\u00e9', n\u00e1sledne klasifikuje konkr\u00e9tne prvky 'ohrozuj\u00facej aktivity' a nakoniec vyvodzuje kone\u010dn\u00e9 rozhodnutie o tom, \u010di boli zariadenie alebo pou\u017e\u00edvate\u013e skuto\u010dne skompromitovan\u00ed. Schopnos\u0165 zhroma\u017edi\u0165 jednotliv\u00e9 \u010dasti, ktor\u00e9 spolo\u010dne tvoria d\u00f4kazy pre kone\u010dn\u00e9 rozhodnutie o skompromitovan\u00ed objektu, je zabezpe\u010den\u00e1 ve\u013emi starostlivou anal\u00fdzou a korel\u00e1ciou.<\/p>\n

<\/p>\n

T\u00e1to schopnos\u0165 je mimoriadne d\u00f4le\u017eit\u00e1, preto\u017ee \u0161tandardn\u00e9 podniky m\u00f4\u017eu denne prij\u00edma\u0165 obrovsk\u00e9 mno\u017estvo varovn\u00fdch sign\u00e1lov, a vy\u0161etrova\u0165 ka\u017ed\u00fd z nich je nemo\u017en\u00e9 \u2014 zdroje odborn\u00edkov na bezpe\u010dnos\u0165 s\u00fa obmedzen\u00e9. Modul strojov\u00e9ho u\u010denia spracov\u00e1va obrovsk\u00e9 mno\u017estvo inform\u00e1ci\u00ed takmer v re\u00e1lnom \u010dase na identifik\u00e1ciu kritick\u00fdch incidentov s vysokou \u00farov\u0148ou d\u00f4very, a tie\u017e je schopn\u00fd navrhn\u00fa\u0165 jasn\u00fd postup na r\u00fdchle odstr\u00e1nenie.<\/p>\n

<\/p>\n

Po\u010fme sa bli\u017e\u0161ie pozrie\u0165 na mno\u017estvo met\u00f3d strojov\u00e9ho u\u010denia, ktor\u00e9 Stealthwatch vyu\u017e\u00edva. Ke\u010f je incident predlo\u017een\u00fd modulu strojov\u00e9ho u\u010denia Stealthwatch, prech\u00e1dza cez bezpe\u010dnostn\u00fd analytick\u00fd kan\u00e1l, v r\u00e1mci ktor\u00e9ho sa vyu\u017e\u00edva kombin\u00e1cia met\u00f3d strojov\u00e9ho u\u010denia s u\u010dite\u013eom a bez u\u010dite\u013ea.<\/p>\n

<\/p>\n

\"Anal\u00fdza
\nMo\u017enosti viac\u00farov\u0148ov\u00e9ho strojov\u00e9ho u\u010denia.<\/em><\/p>\n

<\/p>\n

\u00darove\u0148 1. Detekcia anom\u00e1li\u00ed a modelovanie d\u00f4very.<\/h3>\n

<\/p>\n

Na tej \u00farovni sa 99 % prev\u00e1dzky vyra\u010fuje pomocou \u0161tatistick\u00fdch detektorov anom\u00e1li\u00ed. Uveden\u00e9 senzory spolo\u010dne vytv\u00e1raj\u00fa zlo\u017eit\u00fd model toho, \u010do je norm\u00e1lne a \u010do naopak anom\u00e1lne. Av\u0161ak anom\u00e1lne nemus\u00ed by\u0165 nutne zl\u00e9. Mnoh\u00e9 z toho, \u010do sa deje vo va\u0161ej sieti, nem\u00e1 ni\u010d spolo\u010dn\u00e9 s hrozbou \u2014 je to jednoducho \u010dudn\u00e9. Je d\u00f4le\u017eit\u00e9 klasifikova\u0165 tak\u00e9to procesy bez oh\u013eadu na hroziv\u00e9 spr\u00e1vanie. Z tohto d\u00f4vodu v\u00fdsledky pr\u00e1ce tak\u00fdchto detektorov prech\u00e1dzaj\u00fa \u010fal\u0161ou anal\u00fdzou, aby bolo mo\u017en\u00e9 zaznamena\u0165 \u010dudn\u00e9 spr\u00e1vanie, ktor\u00e9 sa d\u00e1 vysvetli\u0165 a ktor\u00e9mu sa d\u00e1 d\u00f4verova\u0165. Nakoniec len mal\u00e1 \u010das\u0165 najd\u00f4le\u017eitej\u0161\u00edch tokov a \u017eiadost\u00ed prech\u00e1dza na 2. a 3. \u00farove\u0148. Bez pou\u017eitia tak\u00fdchto met\u00f3d strojov\u00e9ho u\u010denia by opera\u010dn\u00e9 n\u00e1klady na oddelenie sign\u00e1lu od \u0161umu boli prive\u013ek\u00e9.<\/p>\n

<\/p>\n

Zistenie anom\u00e1li\u00ed.<\/strong> V prvej etape pri zisten\u00ed anom\u00e1li\u00ed sa pou\u017e\u00edvaj\u00fa \u0161tatistick\u00e9 met\u00f3dy strojov\u00e9ho u\u010denia na oddelenie \u0161tatisticky norm\u00e1lnej prev\u00e1dzky od anom\u00e1lnej. Viac ako 70 samostatn\u00fdch detektorov spracov\u00e1va telemetrick\u00e9 \u00fadaje, ktor\u00e9 Stealthwatch zhroma\u017e\u010fuje o prev\u00e1dzke, ktor\u00e1 prech\u00e1dza cez perimetr va\u0161ej siete, pri\u010dom sa oddel\u00ed intern\u00fd prev\u00e1dzkov\u00fd syst\u00e9m dom\u00e9nov\u00fdch mien (DNS) a \u00fadaje z proxy servera, ak s\u00fa k dispoz\u00edcii. Ka\u017ed\u00fd po\u017eiadavok sa spracov\u00e1va viac ako 70 detektormi, pri\u010dom ka\u017ed\u00fd detektor pou\u017e\u00edva svoj vlastn\u00fd \u0161tatistick\u00fd algoritmus na vytvorenie hodnotenia zisten\u00fdch anom\u00e1li\u00ed. Tieto hodnotenia sa sp\u00e1jaj\u00fa a v\u00fdsledkom pou\u017eitia nieko\u013ek\u00fdch \u0161tatistick\u00fdch met\u00f3d je jednotn\u00e1 hodnota pre ka\u017ed\u00fd jednotliv\u00fd po\u017eiadavok. N\u00e1sledne sa t\u00e1to s\u00fahrnn\u00e1 hodnota pou\u017e\u00edva na rozdelenie norm\u00e1lnej a anom\u00e1lnej prev\u00e1dzky.<\/p>\n

<\/p>\n

Modelovanie d\u00f4very.<\/strong> \u010ealej sa podobn\u00e9 po\u017eiadavky skupinuj\u00fa a celkov\u00e1 hodnota anom\u00e1li\u00ed pre tieto skupiny sa ur\u010duje ako dlhodob\u00fd priemer. V priebehu \u010dasu je viac po\u017eiadaviek podroben\u00fdch anal\u00fdze a n\u00e1sledne ur\u010den\u00e9mu dlhodob\u00e9mu priemeru, \u010do umo\u017e\u0148uje zn\u00ed\u017ei\u0165 falo\u0161ne pozit\u00edvne a falo\u0161ne negat\u00edvne reakcie. V\u00fdsledky modelovania d\u00f4very sa pou\u017e\u00edvaj\u00fa na v\u00fdber podmno\u017einy prenosu, ktor\u00e9ho hodnotenie anom\u00e1li\u00ed presahuje ur\u010dit\u00e9 dynamicky stanoven\u00e9 prahov\u00e9 hodnoty, aby sa presunuli na \u010fal\u0161iu \u00farove\u0148 spracovania.<\/p>\n

<\/p>\n

2. \u00farove\u0148. Klasifik\u00e1cia udalost\u00ed a modelovanie objektu<\/h3>\n

<\/p>\n

Na tejto \u00farovni sa klasifikuj\u00fa v\u00fdsledky z\u00edskan\u00e9 z predch\u00e1dzaj\u00facich et\u00e1p, pri\u010dom sa prira\u010fuj\u00fa k konkr\u00e9tnym \u0161kodliv\u00fdm udalostiam. Klasifik\u00e1cia udalost\u00ed sa vykon\u00e1va pod\u013ea hodn\u00f4t priraden\u00fdch klasifik\u00e1tormi strojov\u00e9ho u\u010denia s cie\u013eom zabezpe\u010di\u0165 st\u00e1ly ukazovate\u013e presnosti nad 90 %. Medzi nimi s\u00fa:<\/p>\n

<\/p>\n