🥇Протоколи протока као алат за праћење унутрашње безбедности мреже

Када је у питању праћење безбедности интерне корпоративне или мреже одељења, многи то повезују са контролом цурења информација и имплементацијом ДЛП решења. А ако покушате да разјасните питање и питате како откривате нападе на интерну мрежу, онда ће одговор, по правилу, бити помињање система за откривање упада (ИДС). А оно што је била једина опција пре 10-20 година, данас постаје анахронизам. Постоји ефикаснија, а на неким местима и једина могућа опција за праћење интерне мреже – коришћење протокола протока, који су првобитно били дизајнирани за тражење мрежних проблема (отклањање проблема), али су се временом трансформисали у веома интересантан безбедносни алат. Разговараћемо о томе који протоколи протока постоје и који су бољи у откривању мрежних напада, где је најбоље имплементирати праћење тока, шта треба тражити приликом постављања такве шеме, па чак и како све ово „подићи“ на домаћу опрему у оквиру овог члана.

Нећу се задржавати на питању „Зашто је потребан надзор безбедности унутрашње инфраструктуре?“ Чини се да је одговор јасан. Али ако бисте, ипак, желели да се још једном уверите да данас не можете да живите без тога, погледајте кратак видео о томе како можете продрети у корпоративну мрежу заштићену заштитним зидом на 17 начина. Стога ћемо претпоставити да разумемо да је интерни мониторинг неопходна ствар и да остаје само да се разуме како се може организовати.

Истакнуо бих три кључна извора података за праћење инфраструктуре на нивоу мреже:

„сирови“ саобраћај који снимамо и достављамо на анализу одређеним системима анализе,
догађаји са мрежних уређаја кроз које пролази саобраћај,
информације о саобраћају примљене преко једног од протокола тока.

Снимање сировог саобраћаја је најпопуларнија опција међу стручњацима за безбедност, јер се историјски појавила и била је прва. Конвенционални системи за откривање упада у мрежу (први комерцијални систем за откривање упада био је НетРангер од Вхеел Гроуп, који је Цисцо купио 1998. године) били су прецизно ангажовани у хватању пакета (и каснијих сесија) у којима су тражени одређени потписи („одлучујућа правила“ у ФСТЕЦ терминологија), сигнализација напада. Наравно, можете анализирати сирови саобраћај не само помоћу ИДС-а, већ и помоћу других алата (на пример, Виресхарк, тцпдум или НБАР2 функционалност у Цисцо ИОС), али им обично недостаје база знања која разликује алатку за безбедност информација од обичног ИТ алат.

Дакле, системи за откривање напада. Најстарији и најпопуларнији метод откривања мрежних напада, који добро ради на периметру (без обзира на све - корпоративни, дата центар, сегмент, итд.), али не успева у модерним комутираним и софтверски дефинисаним мрежама. У случају мреже изграђене на бази конвенционалних прекидача, инфраструктура сензора за откривање напада постаје превелика – мораћете да инсталирате сензор на сваку везу са чвором на коме желите да надгледате нападе. Сваки произвођач ће вам, наравно, радо продати стотине и хиљаде сензора, али мислим да ваш буџет не може издржати такве трошкове. Могу рећи да ни у Цисцо-у (а ми смо програмери НГИПС-а) то нисмо могли да урадимо, иако се чини да је питање цене пред нама. Не треба да трпим - то је наша лична одлука. Поред тога, поставља се питање како спојити сензор у овој верзији? У јаз? Шта ако сам сензор поквари? Да ли вам је потребан бајпас модул у сензору? Користите разделнике (тапните)? Све ово поскупљује решење и чини га неприступачним за компанију било које величине.

Можете покушати да „окачите“ сензор на СПАН/РСПАН/ЕРСПАН порт и усмерите саобраћај са потребних портова комутатора на њега. Ова опција делимично уклања проблем описан у претходном параграфу, али поставља још један – СПАН порт не може да прихвати апсолутно сав саобраћај који ће му бити послат – неће имати довољно пропусног опсега. Мораћете нешто да жртвујете. Или оставите неке од чворова без надгледања (онда им прво треба да одредите приоритет), или пошаљите не сав саобраћај са чвора, већ само одређени тип. У сваком случају, можда ћемо пропустити неке нападе. Поред тога, СПАН порт се може користити за друге потребе. Као резултат тога, мораћемо да прегледамо постојећу топологију мреже и евентуално да је прилагодимо како бисмо максимално покрили вашу мрежу са бројем сензора које имате (и координирали ово са ИТ-ом).

Шта ако ваша мрежа користи асиметричне руте? Шта ако сте имплементирали или планирате да имплементирате СДН? Шта ако треба да надгледате виртуелизоване машине или контејнере чији саобраћај уопште не стиже до физичког прекидача? Ово су питања која традиционални ИДС продавци не воле јер не знају како да одговоре на њих. Можда ће вас убедити да су све ове модерне технологије хара и да вам не требају. Можда ће причати о потреби да се почне са малим. Или ће можда рећи да треба да ставите моћну вршалицу у центар мреже и усмерите сав саобраћај на њу помоћу балансера. Која год опција да вам се понуди, морате јасно разумети како вам одговара. И тек након тога донети одлуку о избору приступа праћењу информационе безбедности мрежне инфраструктуре. Враћајући се на хватање пакета, желим да кажем да је овај метод и даље веома популаран и важан, али његова главна сврха је контрола граница; границе између ваше организације и Интернета, границе између дата центра и остатка мреже, границе између система контроле процеса и корпоративног сегмента. На овим местима класични ИДС/ИПС и даље имају право да постоје и добро се носе са својим задацима.

Пређимо на другу опцију. Анализа догађаја који долазе са мрежних уређаја такође се може користити у сврху откривања напада, али не као главни механизам, јер омогућава откривање само мале класе упада. Поред тога, то је својствено некој реактивности - напад се прво мора десити, а затим га мора снимити мрежни уређај, који ће на овај или онај начин сигнализирати проблем са безбедношћу информација. Постоји неколико таквих начина. Ово може бити системски дневник, РМОН или СНМП. Последња два протокола за праћење мреже у контексту информационе безбедности користе се само ако треба да откријемо ДоС напад на саму мрежну опрему, пошто је коришћењем РМОН и СНМП могуће, на пример, пратити оптерећење централе уређаја. процесора или његових интерфејса. Ово је један од „најјефтинијих“ (сви имају системски дневник или СНМП), али и најнеефикаснији од свих метода надгледања информационе безбедности интерне инфраструктуре – многи напади су једноставно скривени од њега. Наравно, не треба их занемарити, а иста сислог анализа помаже вам да благовремено идентификујете промене у конфигурацији самог уређаја, његову компромитацију, али није баш погодна за откривање напада на целу мрежу.

Трећа опција је анализа информација о саобраћају који пролази кроз уређај који подржава један од неколико протокола протока. У овом случају, без обзира на протокол, инфраструктура навоја се нужно састоји од три компоненте:

Генерисање или извоз тока. Ова улога се обично додељује рутеру, комутатору или другом мрежном уређају, који, пропуштањем мрежног саобраћаја кроз себе, омогућава да из њега извучете кључне параметре, који се затим преносе модулу за прикупљање. На пример, Цисцо подржава Нетфлов протокол не само на рутерима и прекидачима, укључујући виртуелне и индустријске, већ и на бежичним контролерима, заштитним зидовима, па чак и серверима.
Ток прикупљања. С обзиром на то да модерна мрежа обично има више од једног мрежног уређаја, јавља се проблем прикупљања и консолидације токова, који се решава коришћењем тзв. колектора, који обрађују примљене токове и потом их прослеђују на анализу.
Анализа тока Анализатор преузима главни интелектуални задатак и, примењујући различите алгоритме на токове, изводи одређене закључке. На пример, као део ИТ функције, такав анализатор може да идентификује уска грла у мрежи или анализира профил оптерећења саобраћаја ради даље оптимизације мреже. А за безбедност информација, такав анализатор може да открије цурење података, ширење злонамерног кода или ДоС нападе.

Немојте мислити да је ова трослојна архитектура превише компликована – све друге опције (осим, можда, система за праћење мреже који раде са СНМП-ом и РМОН-ом) такође раде у складу са њом. Имамо генератор података за анализу, који може бити мрежни уређај или самостални сензор. Имамо систем прикупљања аларма и систем управљања за целокупну инфраструктуру за надзор. Последње две компоненте се могу комбиновати у оквиру једног чвора, али у мање или више великим мрежама обично су распоређене на најмање два уређаја како би се обезбедила скалабилност и поузданост.

За разлику од анализе пакета, која се заснива на проучавању података заглавља и тела сваког пакета и сесија од којих се састоји, анализа тока се ослања на прикупљање метаподатака о мрежном саобраћају. Када, колико, одакле и где, како... то су питања на која одговара анализа мрежне телеметрије коришћењем различитих протокола протока. У почетку су коришћени за анализу статистике и проналажење ИТ проблема на мрежи, али је потом, како су се развијали аналитички механизми, постало могуће применити их на исту телеметрију у безбедносне сврхе. Поново је вредно напоменути да анализа тока не замењује нити замењује хватање пакета. Свака од ових метода има своју област примене. Али у контексту овог чланка, анализа тока је та која је најпогоднија за праћење унутрашње инфраструктуре. Имате мрежне уређаје (било да раде у софтверски дефинисаној парадигми или према статичким правилима) које напад не може заобићи. Може да заобиђе класични ИДС сензор, али мрежни уређај који подржава протокол протока не може. Ово је предност ове методе.

С друге стране, ако су вам потребни докази за спровођење закона или ваш сопствени тим за истраживање инцидента, не можете без хватања пакета – мрежна телеметрија није копија саобраћаја која се може користити за прикупљање доказа; потребно је за брзо откривање и доношење одлука у области информационе безбедности. С друге стране, помоћу анализе телеметрије, можете „уписати“ не сав мрежни саобраћај (ако ништа друго, Цисцо се бави центрима података :-), већ само онај који је укључен у напад. Алати за телеметријску анализу у овом погледу ће добро допунити традиционалне механизме хватања пакета, дајући команде за селективно хватање и складиштење. У супротном, мораћете да имате колосалну инфраструктуру за складиштење.

Замислимо мрежу која ради брзином од 250 Мбит/сец. Ако желите да ускладиштите сав овај обим, биће вам потребно 31 МБ складишта за једну секунду преноса саобраћаја, 1,8 ГБ за један минут, 108 ГБ за један сат и 2,6 ТБ за један дан. За складиштење дневних података из мреже са пропусним опсегом од 10 Гбит/с, биће вам потребно 108 ТБ простора за складиштење. Али неки регулатори захтевају чување безбедносних података годинама... Снимање на захтев, чија вам анализа тока помаже да примените, помаже у смањењу ових вредности за редове величине. Узгред, ако говоримо о односу обима снимљених података мрежне телеметрије и комплетног прикупљања података, онда је то отприлике 1 према 500. За исте вредности дате горе, чување пуног транскрипта целокупног дневног саобраћаја биће 5 и 216 ГБ, респективно (можете га чак и снимити на обичан флеш диск).

Ако је за алате за анализу сирових мрежних података, начин њиховог хватања скоро исти од продавца до продавца, онда је у случају анализе тока ситуација другачија. Постоји неколико опција за протоколе протока, о разликама у којима треба да знате у контексту безбедности. Најпопуларнији је протокол Нетфлов који је развио Цисцо. Постоји неколико верзија овог протокола, које се разликују по својим могућностима и количини снимљених саобраћајних информација. Тренутна верзија је девета (Нетфлов в9), на основу које је развијен индустријски стандард Нетфлов в10, познат и као ИПФИКС. Данас већина добављача мреже подржава Нетфлов или ИПФИКС у својој опреми. Али постоје разне друге опције за протоколе протока - сФлов, јФлов, цФлов, рФлов, НетСтреам, итд., од којих је сФлов најпопуларнији. Управо овај тип најчешће подржавају домаћи произвођачи мрежне опреме због лакоће имплементације. Које су кључне разлике између Нетфлов-а, који је постао де фацто стандард, и сФлов-а? Истакнуо бих неколико кључних. Прво, Нетфлов има корисничка прилагодљива поља за разлику од фиксних поља у сФлов-у. И друго, и то је најважније у нашем случају, сФлов прикупља такозвану узорковану телеметрију; за разлику од неузоркованог за Нетфлов и ИПФИКС. Која је разлика између њих?

Замислите да одлучите да прочитате књигу “Безбедносни оперативни центар: Изградња, рад и одржавање вашег СОЦ-а” мојих колега - Гери Мекинтајер, Џозеф Муниц и Надем Алфардан (део књиге можете преузети са линка). Имате три опције да постигнете свој циљ - прочитајте целу књигу, прелистајте је, заустављајући се на свакој 10. или 20. страници, или покушајте да пронађете препричавање кључних концепата на блогу или сервису као што је СмартРеадинг. Дакле, неузоркована телеметрија чита сваку „страницу“ мрежног саобраћаја, односно анализира метаподатке за сваки пакет. Узоркована телеметрија је селективна студија саобраћаја у нади да ће одабрани узорци садржати оно што вам треба. У зависности од брзине канала, узоркована телеметрија ће се слати на анализу сваког 64., 200., 500., 1000., 2000. или чак 10000. пакета.

У контексту надгледања безбедности информација, то значи да је узоркована телеметрија веома погодна за откривање ДДоС напада, скенирање и ширење злонамерног кода, али може да пропусти атомске нападе или нападе са више пакета који нису укључени у узорак послат на анализу. Неузоркована телеметрија нема такве недостатке. Овим је опсег откривених напада много шири. Ево кратке листе догађаја који се могу открити помоћу алата за анализу мрежне телеметрије.

Наравно, неки анализатор Нетфлов отвореног кода вам то неће дозволити, јер је његов главни задатак да прикупи телеметрију и изврши основну анализу на њој са ИТ тачке гледишта. Да би се идентификовале претње безбедности информација на основу протока, неопходно је опремити анализатор различитим машинама и алгоритмима, који ће идентификовати проблеме сајбер безбедности на основу стандардних или прилагођених Нетфлов поља, обогатити стандардне податке екстерним подацима из различитих извора обавештајних података о претњи итд.

Стога, ако имате избор, изаберите Нетфлов или ИПФИКС. Али чак и ако ваша опрема ради само са сФлов-ом, као код домаћих произвођача, онда чак иу овом случају можете имати користи од тога у безбедносном контексту.

У лето 2019. анализирао сам могућности које имају руски произвођачи мрежног хардвера и сви су, изузимајући НСГ, Полигон и Црафтваи, најавили подршку за сФлов (барем Зелак, Натек, Елтек, КТецх, Рустелетех).

Следеће питање са којим ћете се суочити је где имплементирати подршку протока у безбедносне сврхе? У ствари, питање није сасвим исправно постављено. Савремена опрема скоро увек подржава протоколе протока. Стога бих другачије формулисао питање – где је са безбедносне тачке гледишта најефикасније прикупљати телеметрију? Одговор ће бити сасвим очигледан – на нивоу приступа, где ћете видети 100% целокупног саобраћаја, где ћете имати детаљне информације о хостовима (МАЦ, ВЛАН, ИД интерфејса), где можете чак и да пратите П2П саобраћај између хостова, који је кључно за откривање скенирања и дистрибуцију злонамерног кода. На нивоу језгра, можда једноставно нећете видети део саобраћаја, али на нивоу периметра видећете четвртину свог мрежног саобраћаја. Али ако из неког разлога имате стране уређаје на вашој мрежи који омогућавају нападачима да „уђу и изађу“ без заобилажења периметра, онда вам анализа телеметрије из ње неће дати ништа. Због тога, за максималну покривеност, препоручљиво је омогућити прикупљање телеметрије на нивоу приступа. Истовремено, вреди напоменути да чак и ако говоримо о виртуелизацији или контејнерима, подршка протока се такође често налази у модерним виртуелним прекидачима, што вам омогућава да и тамо контролишете саобраћај.

Али пошто сам покренуо тему, морам да одговорим на питање: шта ако опрема, физичка или виртуелна, не подржава протоколе протока? Или је његово укључивање забрањено (на пример, у индустријским сегментима да би се осигурала поузданост)? Или његово укључивање доводи до великог оптерећења процесора (ово се дешава на старијем хардверу)? Да би се решио овај проблем, постоје специјализовани виртуелни сензори (проточни сензори), који су у суштини обични разделници који пропуштају саобраћај кроз себе и емитују га у облику тока до модула за прикупљање. Истина, у овом случају добијамо све проблеме о којима смо горе говорили у вези са алатима за хватање пакета. То јест, морате разумети не само предности технологије анализе протока, већ и њена ограничења.

Још једна ствар коју је важно запамтити када говоримо о алатима за анализу протока. Ако у односу на конвенционална средства за генерисање безбедносних догађаја користимо ЕПС метрику (догађај у секунди), онда овај индикатор није применљив на телеметријску анализу; замењује га ФПС (проток у секунди). Као иу случају ЕПС-а, не може се унапред израчунати, али можете проценити приближан број нити које одређени уређај генерише у зависности од његовог задатка. На Интернету можете пронаћи табеле са приближним вредностима за различите типове пословних уређаја и услова, које ће вам омогућити да процените које лиценце су вам потребне за алате за анализу и каква ће бити њихова архитектура? Чињеница је да је ИДС сензор ограничен одређеним пропусним опсегом који може да „вуче“, а колектор протока има своја ограничења која се морају разумети. Стога, у великим, географски распоређеним мрежама обично постоји неколико колектора. Када сам описао како се мрежа надгледа унутар Цисцо-а, већ сам навео број наших сакупљача – има их 21. А ово је за мрежу раштркану на пет континената и која броји око пола милиона активних уређаја).

Користимо сопствено решење као Нетфлов систем за праћење Цисцо Стеалтхватцх, која је посебно усмерена на решавање безбедносних проблема. Има много уграђених механизама за откривање аномалних, сумњивих и јасно злонамерних активности, што вам омогућава да откријете широк спектар различитих претњи – од криптоминирања до цурења информација, од ширења злонамерног кода до преваре. Као и већина анализатора протока, Стеалтхватцх је изграђен по тростепеној шеми (генератор - колектор - анализатор), али је допуњен низом занимљивих карактеристика које су важне у контексту материјала који се разматра. Прво, интегрише се са решењима за хватање пакета (као што је Цисцо Сецурити Пацкет Анализер), што вам омогућава да снимите изабране мрежне сесије за каснију дубинску истрагу и анализу. Друго, посебно да бисмо проширили безбедносне задатке, развили смо посебан нвзФлов протокол, који вам омогућава да „емитујете“ активност апликација на крајњим чворовима (серверима, радним станицама, итд.) у телеметрију и преносите је колектору на даљу анализу. Ако у својој оригиналној верзији Стеалтхватцх ради са било којим протоколом протока (сФлов, рФлов, Нетфлов, ИПФИКС, цФлов, јФлов, НетСтреам) на нивоу мреже, онда подршка за нвзФлов омогућава корелацију података и на нивоу чвора, на тај начин. повећање ефикасности целог система и уочавање више напада од конвенционалних анализатора мрежног тока.

Јасно је да када се говори о системима за анализу Нетфлов са безбедносне тачке гледишта, тржиште није ограничено на једно решење компаније Цисцо. Можете користити и комерцијална и бесплатна или схареваре решења. Прилично је чудно ако као примере на Цисцо блогу наводим решења конкурената, па ћу рећи неколико речи о томе како се мрежна телеметрија може анализирати помоћу два популарна, слична по имену, али ипак различита алата – СиЛК и ЕЛК.

СиЛК је скуп алата (Систем знања на нивоу Интернета) за анализу саобраћаја, који је развио амерички ЦЕРТ/ЦЦ и који подржава, у контексту данашњег чланка, Нетфлов (5. и 9., најпопуларније верзије), ИПФИКС и сФлов и коришћењем различитих услужних програма (рвфилтер, рвцоунт, рвфловпацк, итд.) за обављање различитих операција на мрежној телеметрији у циљу откривања знакова неовлашћених радњи у њој. Али треба напоменути неколико важних тачака. СиЛК је алатка командне линије која врши анализу на мрежи уношењем оваквих команди (откривање ИЦМП пакета већих од 200 бајтова):

rwfilter --flowtypes=all/all --proto=1 --bytes-per-packet=200- --pass=stdout | rwrwcut --fields=sIP,dIP,iType,iCode --num-recs=15

није баш удобно. Можете да користите иСиЛК ГУИ, али то вам неће много олакшати живот, само ће решити функцију визуелизације, а не заменити аналитичара. А ово је друга тачка. За разлику од комерцијалних решења, која већ имају солидну аналитичку основу, алгоритме за детекцију аномалија, одговарајући ток рада, итд., у случају СиЛК-а све ово ћете морати сами да урадите, што ће од вас захтевати нешто другачије компетенције него за коришћење већ спремних. алати за употребу. Ово није ни добро ни лоше – ово је карактеристика готово сваког бесплатног алата који претпоставља да знате шта треба да радите, а само ће вам помоћи у томе (комерцијални алати мање зависе од компетенција својих корисника, иако такође претпостављају да аналитичари разумеју бар основе мрежних истраживања и праћења). Али вратимо се на СиЛК. Радни циклус аналитичара са њим изгледа овако:

Формулисање хипотезе. Морамо разумети шта ћемо тражити унутар мрежне телеметрије, знати јединствене атрибуте по којима ћемо идентификовати одређене аномалије или претње.
Изградња модела. Након што смо формулисали хипотезу, програмирамо је користећи исти Питхон, схелл или друге алате који нису укључени у СиЛК.
Тестирање. Време је да проверимо тачност наше хипотезе, која је потврђена или оповргнута коришћењем СиЛК услужних програма који почињу са „рв“, „сет“, „баг“.
Анализа реалних података. У индустријском раду, СиЛК нам помаже да нешто идентификујемо и аналитичар мора да одговори на питања „Да ли смо пронашли оно што смо очекивали?“, „Да ли ово одговара нашој хипотези?“, „Како смањити број лажних позитивних резултата?“, „Како побољшати ниво препознавања? » и тако даље.
Побољшање. У завршној фази побољшавамо оно што је раније урађено - креирамо шаблоне, побољшавамо и оптимизујемо код, преформулишемо и појашњавамо хипотезу итд.

Овај циклус ће бити применљив и на Цисцо Стеалтхватцх, само што последњи аутоматизује ових пет корака до максимума, смањујући број грешака аналитичара и повећавајући ефикасност детекције инцидената. На пример, у СиЛК-у можете да обогатите мрежну статистику спољним подацима о злонамерним ИП адресама користећи ручно писане скрипте, а у Цисцо Стеалтхватцх-у је то уграђена функција која одмах приказује аларм ако мрежни саобраћај садржи интеракције са ИП адресама са црне листе.

Ако идете више у „плаћеној“ пирамиди за софтвер за анализу протока, онда ће након апсолутно бесплатног СиЛК-а постојати схареваре ЕЛК, који се састоји од три кључне компоненте – Еластицсеарцх (индексирање, претраживање и анализа података), Логстасх (унос/излаз података ) и Кибана (визуелизација). За разлику од СиЛК-а, где све морате сами да напишете, ЕЛК већ има много готових библиотека/модула (неке плаћене, неке не) које аутоматизују анализу мрежне телеметрије. На пример, ГеоИП филтер у Логстасх-у вам омогућава да повежете надгледане ИП адресе са њиховом географском локацијом (Стеалтхватцх има ову уграђену функцију).

ЕЛК такође има прилично велику заједницу која довршава недостајуће компоненте за ово решење за праћење. На пример, за рад са Нетфлов, ИПФИКС и сФлов можете користити модул еластифлов, ако нисте задовољни Логстасх Нетфлов модулом, који подржава само Нетфлов.

Иако даје већу ефикасност у прикупљању тока и претраживању у њему, ЕЛК тренутно нема богату уграђену аналитику за откривање аномалија и претњи у мрежној телеметрији. То јест, пратећи горе описани животни циклус, мораћете самостално да опишете моделе кршења, а затим га користите у борбеном систему (тамо нема уграђених модела).

Постоје, наравно, и софистициранија проширења за ЕЛК, која већ садрже неке моделе за откривање аномалија у мрежној телеметрији, али таква проширења коштају и овде је питање да ли је игра вредна свеће – сами напишите сличан модел, купите га. имплементацију за ваш алат за праћење, или купите готово решење класе Нетворк Траффиц Аналисис.

Генерално, не желим да улазим у расправу да је боље потрошити новац и купити готово решење за праћење аномалија и претњи у мрежној телеметрији (на пример Цисцо Стеалтхватцх) или сами смислити и прилагодити исто СиЛК, ЕЛК или нфдумп или ОСУ Флов Тоолс за сваку нову претњу (говорим о последње две од њих рекао последњи пут)? Свако бира за себе и свако има своје мотиве да изабере било коју од две опције. Хтео сам само да покажем да је мрежна телеметрија веома важан алат у обезбеђивању мрежне безбедности ваше интерне инфраструктуре и да је не треба занемарити, како се не бисте придружили листи компанија чије се име у медијима помиње уз епитете „ хакован“, „неусклађен са захтевима за безбедност информација“ „, „не размишљајући о безбедности својих података и података о клијентима“.

Да резимирамо, желео бих да наведем кључне савете које треба да следите када градите надзор безбедности информација ваше интерне инфраструктуре:

Немојте се ограничавати само на периметар! Користите (и бирајте) мрежну инфраструктуру не само за премештање саобраћаја од тачке А до тачке Б, већ и за решавање проблема сајбер безбедности.
Проучите постојеће механизме надзора безбедности информација у вашој мрежној опреми и користите их.
За интерни надзор, дајте предност телеметријској анализи – она вам омогућава да откријете до 80-90% свих инцидената у вези са сигурношћу информација у мрежи, док радите оно што је немогуће приликом хватања мрежних пакета и уштеде простора за складиштење свих догађаја безбедности информација.
Да бисте надгледали токове, користите Нетфлов в9 или ИПФИКС – они пружају више информација у безбедносном контексту и омогућавају вам да надгледате не само ИПв4, већ и ИПв6, МПЛС, итд.
Користите неузорковани протокол тока – он пружа више информација за откривање претњи. На пример, Нетфлов или ИПФИКС.
Проверите оптерећење на вашој мрежној опреми - можда неће моћи да се носи и са протоколом протока. Затим размислите о коришћењу виртуелних сензора или уређаја за генерисање Нетфлов-а.
Спроведите контролу пре свега на нивоу приступа - ово ће вам дати прилику да видите 100% целокупног саобраћаја.
Ако немате избора и користите руску мрежну опрему, изаберите ону која подржава протоколе протока или има СПАН/РСПАН портове.
Комбинујте системе за откривање/превенцију упада/напада на ивицама и системе за анализу протока у интерној мрежи (укључујући у облацима).

Што се тиче последњег савета, желео бих да дам илустрацију коју сам већ дао раније. Видите да ако је раније Цисцо сервис за безбедност информација скоро у потпуности изградио свој систем за надзор безбедности информација на основу система за откривање упада и метода потписа, сада они чине само 20% инцидената. Још 20% отпада на системе анализе протока, што сугерише да ова решења нису хир, већ прави алат у активностима служби безбедности информација савременог предузећа. Штавише, имате најважнију ствар за њихову имплементацију - мрежну инфраструктуру, улагања у коју се могу додатно заштитити додељивањем функција праћења безбедности информација мрежи.

Нисам се посебно дотакао теме реаговања на аномалије или претње идентификоване у мрежним токовима, али мислим да је већ сада јасно да праћење не треба да се завршава само откривањем претње. Требало би да буде праћено одговором и по могућности у аутоматском или аутоматизованом режиму. Али ово је тема за посебан чланак.

Додатне информације:

ПС. Ако вам је лакше да чујете све што је горе написано, онда можете погледати једносатну презентацију која је била основа ове белешке.

Извор: ввв.хабр.цом

Протоколи протока као алат за праћење безбедности интерне мреже

Додај коментар Одустани од одговора