{"id":78318,"date":"2020-04-18T13:42:43","date_gmt":"2020-04-18T11:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki"},"modified":"2020-04-18T13:42:43","modified_gmt":"2020-04-18T11:42:43","slug":"analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/analiz-zashifrovannogo-trafika-bez-ego-rasshifrovki","title":{"rendered":"Analys av krypterad trafik utan dekryptering.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ett system f\u00f6r att analysera trafik utan att dechiffrera den. Denna metod kallas helt enkelt \"maskininl\u00e4rning\". Det har visat sig att om man matar en s\u00e4rskild klassificerare med en mycket stor m\u00e4ngd olika trafikdata, kan systemet med mycket h\u00f6g sannolikhet detektera skadliga koder som finns inuti den krypterade trafiken.<\/p>\n

<\/p>\n

\"Analys<\/p>\n

<\/a><\/noindex><\/p>\n

N\u00e4tverksrisker har f\u00f6r\u00e4ndrats och blivit \"smartare\". Under den senaste tiden har sj\u00e4lva konceptet av attacker och skydd \u00e4ndrat sig. Antalet h\u00e4ndelser i n\u00e4tverket har \u00f6kat kraftigt. Attacker har blivit mer sofistikerade och hackare har f\u00e5tt ett bredare angreppss\u00e4tt.<\/p>\n

<\/p>\n

Enligt statistik fr\u00e5n Cisco har angripare under det senaste \u00e5ret tredubblat antalet skadliga program som de anv\u00e4nder f\u00f6r sina aktiviteter, eller snarare f\u00f6r att d\u00f6lja dem - genom kryptering. Enligt teorin kan en \"riktig\" krypteringsalgoritm inte kn\u00e4ckas. F\u00f6r att f\u00f6rst\u00e5 vad som d\u00f6ljer sig inuti den krypterade trafiken m\u00e5ste man antingen dekryptera den med en nyckel, eller f\u00f6rs\u00f6ka avkoda den med olika knep, eller bryta sig igenom den direkt, eller anv\u00e4nda s\u00e5rbarheter i kryptografiska protokoll.<\/p>\n

<\/p>\n

\"Analys
\nBilden av n\u00e4tverksrisker i v\u00e5r tid<\/em><\/p>\n

<\/p>\n

Maskininl\u00e4rning<\/h3>\n

<\/p>\n

K\u00e4nn igen teknologin! Innan vi pratar om hur tekniken f\u00f6r dekryptering med maskininl\u00e4rning fungerar, m\u00e5ste vi f\u00f6rst\u00e5 hur tekniken f\u00f6r neurala n\u00e4tverk fungerar.<\/p>\n

<\/p>\n

Maskininl\u00e4rning (Machine Learning) \u00e4r en omfattande del av artificiell intelligens som studerar metoder f\u00f6r att bygga algoritmer som kan l\u00e4ra sig. Denna vetenskap syftar till att skapa matematiska modeller f\u00f6r \"inl\u00e4rning\" av datorer. M\u00e5let med inl\u00e4rning \u00e4r att f\u00f6ruts\u00e4ga n\u00e5got. P\u00e5 m\u00e4nniskors spr\u00e5k kallar vi denna process f\u00f6r \"visdom\"<\/em>. Visdom visar sig hos m\u00e4nniskor som har levt tillr\u00e4ckligt l\u00e4nge (ett 2-\u00e5rigt barn kan inte vara vis). N\u00e4r vi s\u00f6ker r\u00e5d fr\u00e5n \u00e4ldre kamrater, ger vi dem viss information om h\u00e4ndelsen (ing\u00e5ngsdata) och ber om hj\u00e4lp. De i sin tur minns alla livssituationer som \u00e4r kopplade till ditt problem (kunskapsbas) och baserat p\u00e5 denna kunskap (data) ger de oss en slags f\u00f6ruts\u00e4gelse (r\u00e5d). Denna typ av r\u00e5d kallas f\u00f6r f\u00f6ruts\u00e4gelse eftersom personen som ger r\u00e5det inte vet s\u00e4kert vad som kommer att h\u00e4nda, utan bara antar. Livserfarenhet visar att en person kan ha r\u00e4tt, men kan ocks\u00e5 ha fel.<\/p>\n

<\/p>\n

Det \u00e4r inte v\u00e4rt att j\u00e4mf\u00f6ra neurala n\u00e4tverk med grenalgoritmen (if-else). Det \u00e4r tv\u00e5 olika saker och de har nyckelskillnader. Grenalgoritmen har en tydlig \"f\u00f6rst\u00e5else\" f\u00f6r vad den ska g\u00f6ra. Jag ska visa det med exempel.<\/p>\n

<\/p>\n

Uppgift. Best\u00e4mma bromsstr\u00e4ckan f\u00f6r en bil baserat p\u00e5 dess m\u00e4rke och tillverknings\u00e5r.<\/p>\n

<\/p>\n

Exempel p\u00e5 hur grenalgoritmen fungerar. Om bilen \u00e4r av m\u00e4rke 1 och tillverkad 2012, \u00e4r dess bromsstr\u00e4cka 10 meter, annars, om bilen \u00e4r av m\u00e4rke 2 och tillverkad 2011, och s\u00e5 vidare.<\/p>\n

<\/p>\n

Exempel p\u00e5 hur ett neuralt n\u00e4tverk fungerar. Vi samlar in data om bromsstr\u00e4ckor f\u00f6r bilar under de senaste 20 \u00e5ren. Baserat p\u00e5 m\u00e4rke och \u00e5r skapar vi en tabell i formatet \"m\u00e4rke-\u00e5r-tillverknings\u00e5r-bromsstr\u00e4cka\". Vi ger denna tabell till det neurala n\u00e4tverket och b\u00f6rjar tr\u00e4na det. Tr\u00e4ningen genomf\u00f6rs p\u00e5 f\u00f6ljande s\u00e4tt: vi matar in data till det neurala n\u00e4tverket, men utan bromsstr\u00e4ckan. N\u00e4tverket f\u00f6rs\u00f6ker f\u00f6ruts\u00e4ga vad bromsstr\u00e4ckan kommer att bli baserat p\u00e5 den laddade tabellen. Det g\u00f6r en gissning och st\u00e4ller fr\u00e5gan till anv\u00e4ndaren \"Har jag r\u00e4tt?\". F\u00f6re fr\u00e5gan skapar det en fj\u00e4rde kolumn \u2013 en gissningskolumn. Om det har r\u00e4tt, skriver det 1 i den fj\u00e4rde kolumnen, om det har fel, 0. Det neurala n\u00e4tverket g\u00e5r vidare till n\u00e4sta h\u00e4ndelse (\u00e4ven om det haft fel). S\u00e5 h\u00e4r l\u00e4r sig n\u00e4tverket, och n\u00e4r tr\u00e4ningen \u00e4r klar (ett visst konvergenskriterium har uppn\u00e5tts), ger vi data om den bil vi \u00e4r intresserade av och f\u00e5r slutligen svaret.<\/p>\n

<\/p>\n

F\u00f6r att klarg\u00f6ra fr\u00e5gan om konvergenskriteriet, f\u00f6rklarar jag att detta \u00e4r en matematiskt h\u00e4rledd formel f\u00f6r statistik. Ett tydligt exempel p\u00e5 tv\u00e5 olika konvergensformler. Den r\u00f6da \u2013 bin\u00e4r konvergens, den bl\u00e5 \u2013 normal konvergens.<\/p>\n

<\/p>\n

\"Analys
\nBinomf\u00f6rdelning och normalf\u00f6rdelning av sannolikhet<\/em><\/p>\n

<\/p>\n

F\u00f6r att g\u00f6ra det tydligare, st\u00e4ll fr\u00e5gan \"Vad \u00e4r sannolikheten att tr\u00e4ffa en dinosaurie?\" H\u00e4r finns tv\u00e5 svarsalternativ. Alternativ 1 \u2013 mycket l\u00e5g (bl\u00e5 graf). Alternativ 2 \u2013 antingen en tr\u00e4ff eller ingen (r\u00f6d graf).<\/p>\n

<\/p>\n

Sj\u00e4lvklart \u00e4r en dator inte en m\u00e4nniska och den l\u00e4r sig p\u00e5 ett annat s\u00e4tt. Det finns tv\u00e5 typer av inl\u00e4rning f\u00f6r den 'j\u00e4rn h\u00e4sten' \u2013 inl\u00e4rning baserad p\u00e5 exempel<\/strong> och deduktiv inl\u00e4rning<\/strong>.<\/p>\n

<\/p>\n

Inl\u00e4rning baserad p\u00e5 exempel \u00e4r en metod f\u00f6r att l\u00e4ra sig genom matematiska lagar. Matematiker samlar statistiska tabeller, drar slutsatser och laddar resultatet \u2013 en formel f\u00f6r ber\u00e4kning \u2013 till neuronn\u00e4tverket.<\/p>\n

<\/p>\n

Deduktiv inl\u00e4rning sker helt och h\u00e5llet i neuronn\u00e4tverket (fr\u00e5n datainsamling till analys). H\u00e4r formuleras en tabell utan formel men med statistik.<\/p>\n

<\/p>\n

En omfattande \u00f6versikt av teknologin skulle ta ett par dussin artiklar till. F\u00f6r nu r\u00e4cker det med detta f\u00f6r en allm\u00e4n f\u00f6rst\u00e5else.<\/p>\n

<\/p>\n

Neuroplasticitet<\/h3>\n

<\/p>\n

Inom biologin finns begreppet neuroplasticitet. Neuroplasticitet \u00e4r f\u00f6rm\u00e5gan hos neuroner (hj\u00e4rnceller) att agera 'baserat p\u00e5 situationen'. Till exempel, en person som har f\u00f6rlorat synen h\u00f6r ljud b\u00e4ttre, k\u00e4nner dofter och k\u00e4nner f\u00f6rem\u00e5l. Detta sker eftersom en del av hj\u00e4rnan (del av neuroner), som ansvarar f\u00f6r syn, omf\u00f6rdelar sitt arbete till annan funktionalitet.<\/p>\n

<\/p>\n

Ett tydligt exempel p\u00e5 neuroplasticitet i livet \u00e4r BrainPort-lollipopen.<\/p>\n

<\/p>\n

\u00c5r 2009 tillk\u00e4nnagav universitetet i Wisconsin-Madison utgivningen av en ny enhet som utvecklar id\u00e9erna om ett \"spr\u00e5kdisk\" - det fick namnet BrainPort. BrainPort fungerar enligt f\u00f6ljande: videosignalen kommer fr\u00e5n kameran till en processor som styr zoom, ljusstyrka och andra parametrar av bilden. Den omvandlar \u00e4ven digitala signaler till elektriska impulser, vilket faktist g\u00f6r den till en fungerande n\u00e4thinna.<\/p>\n

<\/p>\n

\"Analys
\nBrainPort-lollipopen med glas\u00f6gon och kamera<\/em><\/p>\n

<\/p>\n

\"Analys
\nBrainPort i aktion<\/em><\/p>\n

\n

\r\n \"Spela\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

\u00c4ven med datorn. Om neuronn\u00e4tverket k\u00e4nner av en f\u00f6r\u00e4ndring i processen anpassar det sig efter den. Detta \u00e4r, i grunden, den stora f\u00f6rdelen med neuronn\u00e4tverken j\u00e4mf\u00f6rt med andra algoritmer \u2013 autonomi. En sorts m\u00e4nsklighet.<\/p>\n

<\/p>\n

Krypterad trafikanalys<\/h3>\n

<\/p>\n

Encrypted Traffic Analytics \u00e4r en del av Stealthwatch. Stealthwatch \u00e4r en l\u00f6sning fr\u00e5n Cisco inom omr\u00e5det f\u00f6r \u00f6vervakning och s\u00e4kerhetsanalys som utnyttjar f\u00f6retags telemetridata fr\u00e5n den befintliga n\u00e4tverksinfrastrukturen.<\/p>\n

<\/p>\n

K\u00e4rnan i Stealthwatch Enterprise utg\u00f6rs av verktygen Flow Rate License, Flow Collector, Management Console och Flow Sensor.<\/p>\n

<\/p>\n

\"Analys
\nCisco Stealthwatch-gr\u00e4nssnitt<\/em><\/p>\n

<\/p>\n

Problemet med kryptering har blivit mycket mer akut eftersom mer trafik nu krypteras. Tidigare krypterades fr\u00e4mst kod, men nu krypteras all trafik, vilket g\u00f6r det mycket sv\u00e5rare att s\u00e4rskilja \"ren\" data fr\u00e5n virus. Ett tydligt exempel \u00e4r WannaCry, som anv\u00e4nde Tor f\u00f6r att d\u00f6lja sin n\u00e4rvaro i n\u00e4tverket.<\/p>\n

<\/p>\n

\"Analys
\nVisualisering av den \u00f6kande m\u00e4ngden krypterad trafik i n\u00e4tverket<\/em><\/p>\n

<\/p>\n

\"Analys
\nKryptering i makroekonomi<\/em><\/p>\n

<\/p>\n

Systemet Encrypted Traffic Analytics (ETA) \u00e4r utformat f\u00f6r att hantera krypterad trafik utan att beh\u00f6va dekryptera den. Brottslingar \u00e4r smarta och anv\u00e4nder kryptostarka krypteringsalgoritmer, och att bryta deras skydd \u00e4r inte bara en utmaning utan ocks\u00e5 en stor kostnad f\u00f6r organisationer.<\/p>\n

<\/p>\n

Systemet fungerar p\u00e5 f\u00f6ljande s\u00e4tt. Det kommer n\u00e5gon trafik till f\u00f6retaget. Den hamnar i TLS (transport layer security \u2014 transportlagrets skydd Protokoll). Anta att trafiken \u00e4r krypterad. Vi f\u00f6rs\u00f6ker svara p\u00e5 en rad fr\u00e5gor om vilken anslutning som har etablerats.<\/p>\n

<\/p>\n

\"Analys
\nPrincipen f\u00f6r hur systemet Encrypted Traffic Analytics (ETA) fungerar<\/em><\/p>\n

<\/p>\n

F\u00f6r att kunna svara p\u00e5 dessa fr\u00e5gor anv\u00e4nder vi maskininl\u00e4rning i detta system. Forskning fr\u00e5n Cisco anv\u00e4nds f\u00f6r att skapa en tabell med tv\u00e5 resultat \u2014 skadlig och \"bra\" trafik. Sj\u00e4lvklart vet vi inte exakt vilken trafik som direkt har kommit in i systemet just nu, men vi kan sp\u00e5ra trafikens historia b\u00e5de inom och utanf\u00f6r f\u00f6retaget med hj\u00e4lp av globala data. I slutet av detta steg f\u00e5r vi en stor datatabell.<\/p>\n

<\/p>\n

Resultatet av forskningen visar karakteristiska drag \u2013 specifika regler som kan skrivas i matematiskt format. Dessa regler skiljer sig avsev\u00e4rt beroende p\u00e5 olika kriterier \u2013 storleken p\u00e5 de \u00f6verf\u00f6rda filerna, typen av anslutning, landet d\u00e4r trafiken kommer ifr\u00e5n, osv. I slutet av arbetet har en enorm tabell omvandlats till en samling av flera formler. Antalet har minskat, men det \u00e4r fortfarande otillr\u00e4ckligt f\u00f6r en bekv\u00e4m arbetsprocess.<\/p>\n

<\/p>\n

D\u00e4refter till\u00e4mpas en teknik f\u00f6r maskininl\u00e4rning \u2013 konvergens av formeln och baserat p\u00e5 konvergensen f\u00e5r vi en trigger \u2013 en v\u00e4xlare, d\u00e4r vi vid utg\u00e5ng av data f\u00e5r en omkopplare (flagga) i upplyft eller nedlaget l\u00e4ge.<\/p>\n

<\/p>\n

Den resulterande fasen \u00e4r att f\u00e5 en upps\u00e4ttning triggers som t\u00e4cker 99 % av trafiken.<\/p>\n

<\/p>\n

\"Analys
\nStegen f\u00f6r trafikverifiering i ETA<\/em><\/p>\n

<\/p>\n

Som ett resultat av arbetet l\u00f6ses ett annat problem \u2013 attacken inifr\u00e5n. Det beh\u00f6vs inte l\u00e4ngre m\u00e4nniskor i mitten som manuellt filtrerar trafiken (i detta avseende motarbetar jag mig sj\u00e4lv). F\u00f6r det f\u00f6rsta kr\u00e4vs det inte l\u00e4ngre stora kostnader f\u00f6r att anst\u00e4lla en kompetent systemadministrat\u00f6r (jag forts\u00e4tter att motarbeta mig sj\u00e4lv). F\u00f6r det andra finns det inget hot om intr\u00e5ng inifr\u00e5n (\u00e5tminstone delvis).<\/p>\n

<\/p>\n

\"Analys
\nDen f\u00f6r\u00e5ldrade konceptet Man-in-the-Middle<\/em><\/p>\n

<\/p>\n

Nu ska vi ta reda p\u00e5 vad systemet baseras p\u00e5.<\/p>\n

<\/p>\n

Systemet arbetar med 4 kommunikationsprotokoll: TCP\/IP \u2013 \u00f6verf\u00f6ringsprotokollet f\u00f6r data p\u00e5 internet, DNS \u2013 dom\u00e4nnamnserver, TLS \u2013 protokoll f\u00f6r transportskydd, SPLT (SpaceWire Physical Layer Tester) \u2013 tester f\u00f6r fysisk kommunikationsniv\u00e5.<\/p>\n

<\/p>\n

\"Analys
\nProtokoll som arbetar med ETA<\/em><\/p>\n

<\/p>\n

J\u00e4mf\u00f6relsen g\u00f6rs genom att matcha data. Genom TCP\/IP-protokollen kontrolleras webbplatsers rykte (historik \u00f6ver bes\u00f6k, syfte med webbplatsen osv.), tack vare DNS-protokollet kan vi utesluta \"d\u00e5liga\" webbplatsadresser. TLS-protokollet arbetar med webbplatsens \"fingeravtryck\" och kontrollerar webbplatsen mot en databas f\u00f6r datorresponsgrupper f\u00f6r n\u00f6dsituationer (cert). Det sista steget i anslutningskontrollen \u00e4r verifiering p\u00e5 den fysiska niv\u00e5n. Detaljerna f\u00f6r detta steg diskuteras inte, men syftet \u00e4r f\u00f6ljande: kontroll av sinus- och cosinuskurvor f\u00f6r datatrafik p\u00e5 oscilloskopinstallationen, det vill s\u00e4ga genom strukturen av f\u00f6rfr\u00e5gan p\u00e5 den fysiska niv\u00e5n definierar vi syftet med anslutningen.<\/p>\n

<\/p>\n

Genom systemets arbete kan vi extrahera data fr\u00e5n kryptra trafik. Tack vare att vi studerar paket kan vi l\u00e4sa s\u00e5 mycket information som m\u00f6jligt fr\u00e5n de okrypterade f\u00e4lten i paketet. Genom att inspektera paket p\u00e5 fysisk niv\u00e5 f\u00e5r vi veta paketets egenskaper (delvis eller helt). Man f\u00e5r inte gl\u00f6mma bort webbplatsernas rykte. Om en f\u00f6rfr\u00e5gan kommer fr\u00e5n en .onion k\u00e4lla b\u00f6r man inte lita p\u00e5 den. F\u00f6r att underl\u00e4tta arbetet med denna typ av data har en riskkarta skapats.<\/p>\n

<\/p>\n

\"Analys
\nResultatet av ETA-arbetet<\/em><\/p>\n

<\/p>\n

Och allt tycktes vara bra, men l\u00e5t oss tala om n\u00e4tverksutvecklingen.<\/p>\n

<\/p>\n

Den fysiska implementeringen av ETA<\/h3>\n

<\/p>\n

H\u00e4r uppst\u00e5r flera nyanser och subtiliteter. F\u00f6r det f\u00f6rsta, vid skapandet av denna typ av
\nn\u00e4tverk med h\u00f6g niv\u00e5 mjukvara, kr\u00e4vs insamling av data. Att samla in data manuellt \u00e4r helt
\nom\u00f6jligt, medan att implementera ett respons system kan vara mer intressant. F\u00f6r det andra, m\u00e4ngden data
\nm\u00e5ste vara stor, vilket betyder att de installerade sensorsystemen m\u00e5ste fungera
\ninte bara autonomt, utan \u00e4ven i ett finjusterat l\u00e4ge, vilket medf\u00f6r flera sv\u00e5righeter.<\/p>\n

<\/p>\n

\"Analys
\nSensorer och Stealthwatch-systemet<\/em><\/p>\n

<\/p>\n

Att installera en sensor \u00e4r en sak, att konfigurera den \u00e4r en helt annan uppgift. F\u00f6r att konfigurera sensorerna finns det ett system som fungerar enligt f\u00f6ljande topologi \u2013 ISR = Cisco Integrated Services Router; ASR = Cisco Aggregation Services Router; CSR = Cisco Cloud Services Router; WLC = Cisco Wireless LAN Controller; IE = Cisco Industrial Ethernet; ASA = Cisco Adaptive Security Appliance; FTD = Cisco Firepower Threat Defense; WSA = Web Security Appliance; ISE = Identity Services Engine.<\/p>\n

<\/p>\n

\"Analys
\nKombinerad \u00f6vervakning med h\u00e4nsyn till alla telemetridata<\/em><\/p>\n

<\/p>\n

N\u00e4tverksadministrat\u00f6rer f\u00e5r arytmi av m\u00e4ngden ord \"Cisco\" i f\u00f6reg\u00e5ende stycke. Priset f\u00f6r detta underverk \u00e4r inte litet, men det \u00e4r inte det vi ska diskutera idag...<\/p>\n

<\/p>\n

Simuleringen av hackerbeteende kommer att ske p\u00e5 f\u00f6ljande s\u00e4tt. Stealthwatch \u00f6vervakar noggrant aktiviteten hos varje enhet i n\u00e4tverket och kan skapa en profil f\u00f6r normalt beteende. Dessutom ger denna l\u00f6sning en djup f\u00f6rst\u00e5else f\u00f6r k\u00e4nda ol\u00e4mpliga beteenden. I denna l\u00f6sning anv\u00e4nds ungef\u00e4r 100 olika analysalgoritmer eller heuristiska regler som r\u00f6r olika typer av trafikbeteende, s\u00e5som skanning, \u00f6verf\u00f6ring av larmmeddelanden fr\u00e5n en nod, inloggning med brute force-metoden, misst\u00e4nkt dataintr\u00e5ng, misst\u00e4nkt datal\u00e4ckage, etc. De n\u00e4mnda s\u00e4kerhetsh\u00e4ndelserna faller under kategorin h\u00f6gprioriterad logisk alarm. Vissa s\u00e4kerhetsh\u00e4ndelser kan ocks\u00e5 utl\u00f6sa en alarm signal per se. Systemet \u00e4r d\u00e4rmed kapabelt att korrelera m\u00e5nga isolerade anomaliska incidenter och samla dem f\u00f6r att identifiera den m\u00f6jliga typen av attack samt koppla den till en specifik enhet och anv\u00e4ndare (figur 2). Incidenten kan sedan studeras dynamiskt och med h\u00e4nsyn till relaterade telemetridata. Detta ger kontextuell information i sitt b\u00e4sta utf\u00f6rande. L\u00e4kare som unders\u00f6ker en patient f\u00f6r att f\u00f6rst\u00e5 vad som har h\u00e4nt, betraktar inte symptomen isolerat. De studerar helheten f\u00f6r att st\u00e4lla en diagnos. P\u00e5 liknande s\u00e4tt registrerar Stealthwatch varje anomali i n\u00e4tverket och analyserar den i sin helhet f\u00f6r att skicka larm med h\u00e4nsyn till sammanhanget, vilket hj\u00e4lper s\u00e4kerhetsspecialister att prioritera risker.<\/p>\n

<\/p>\n

\"Analys
\nUppt\u00e4ckta anomalier med hj\u00e4lp av beteendesimulering<\/em><\/p>\n

<\/p>\n

Den fysiska n\u00e4tverksdeploymenten ser ut som f\u00f6ljer:<\/p>\n

<\/p>\n

\"Analys
\nAlternativ f\u00f6r deployment av filialn\u00e4tverk (f\u00f6renklad)<\/em><\/p>\n

<\/p>\n

\"Analys
\nAlternativ f\u00f6r deployment av filialn\u00e4tverk<\/em><\/p>\n

<\/p>\n

N\u00e4tverket \u00e4r implementerat, men det finns fortfarande en \u00f6ppen fr\u00e5ga om neuronn\u00e4tverket. Vi har organiserat datatransmissionsn\u00e4tverket, installerat sensorer p\u00e5 tr\u00f6sklarna och startat informationsinsamlingssystemet, men neuronn\u00e4tet har inte varit aktivt \u00e4nnu.<\/p>\n

<\/p>\n

Flera lager av neural n\u00e4tverksstruktur<\/h3>\n

<\/p>\n

Systemet analyserar anv\u00e4ndarens och enhetens beteende f\u00f6r att uppt\u00e4cka skadliga infektioner, kommunikationer med kommando-servrar, datal\u00e4ckor samt potentiellt o\u00f6nskade applikationer som k\u00f6rs i organisationens infrastruktur. Det finns flera niv\u00e5er av databehandling, d\u00e4r en kombination av metoder f\u00f6r artificiell intelligens, maskininl\u00e4rning och statistisk matematik hj\u00e4lper n\u00e4tverket att sj\u00e4lvorganisera sin normala aktivitet, s\u00e5 att det kan identifiera skadlig aktivitet.<\/p>\n

<\/p>\n

N\u00e4tverkets s\u00e4kerhetsanalyspipeline, som samlar in telemetridata fr\u00e5n alla delar av det utvidgade n\u00e4tverket, inklusive krypterad trafik, \u00e4r en unik funktion hos Stealthwatch. Den steg f\u00f6r steg formar f\u00f6rst\u00e5elsen av vad som \u00e4r \"anormalt\", klassificerar sedan individuella inslag av \"hotande aktivitet\" och slutligen fattar ett slutligt beslut om enheten eller anv\u00e4ndaren faktiskt har komprometterats. F\u00f6rm\u00e5gan att sammanfoga sm\u00e5 delar som tillsammans utg\u00f6r bevis f\u00f6r att fatta ett slutligt beslut om objektets kompromiss s\u00e4kerst\u00e4lls genom en mycket noggrann analys och korrelation.<\/p>\n

<\/p>\n

Denna f\u00f6rm\u00e5ga \u00e4r av stor betydelse eftersom en standardorganisation kan f\u00e5 ett stort antal larm varje dag, och det \u00e4r om\u00f6jligt att utreda varje enskilt fall \u2014 s\u00e4kerhetsspecialisternas resurser \u00e4r begr\u00e4nsade. Maskininl\u00e4rningsmodulen bearbetar enorma m\u00e4ngder information i n\u00e4stan realtid f\u00f6r att identifiera kritiska incidenter med h\u00f6g s\u00e4kerhet, och dessutom kan den f\u00f6resl\u00e5 en tydlig handlingsplan f\u00f6r snabb \u00e5tg\u00e4rd.<\/p>\n

<\/p>\n

L\u00e5t oss titta n\u00e4rmare p\u00e5 de m\u00e5nga metoderna f\u00f6r maskininl\u00e4rning som anv\u00e4nds av Stealthwatch. N\u00e4r en incident \u00f6verf\u00f6rs till Stealthwatchs maskininl\u00e4rningsmodul passerar den genom en s\u00e4kerhetsanalystratt, d\u00e4r en kombination av b\u00e5de \u00f6vervakad och icke-\u00f6vervakad maskininl\u00e4rning anv\u00e4nds.<\/p>\n

<\/p>\n

\"Analys
\nM\u00f6jligheter f\u00f6r flerniv\u00e5maskininl\u00e4rning<\/em><\/p>\n

<\/p>\n

Niv\u00e5 1. Identifiering av avvikelser och f\u00f6rtroendemodellering<\/h3>\n

<\/p>\n

P\u00e5 denna niv\u00e5 filtreras 99 % av trafiken bort med hj\u00e4lp av statistiska anomalidetektorer. De angivna sensorerna samverkar f\u00f6r att skapa komplexa modeller av vad som \u00e4r normalt och vad som \u00e5 sin sida \u00e4r anomaliteter. Men anomaliteter beh\u00f6ver inte n\u00f6dv\u00e4ndigtvis vara skadliga. Mycket av det som h\u00e4nder i ditt n\u00e4tverk har inget att g\u00f6ra med hot \u2013 det \u00e4r bara konstigt. Det \u00e4r viktigt att klassificera s\u00e5dana processer oavsett hotbeteende. Av den anledningen genomg\u00e5r resultaten av s\u00e5dana detektorer ytterligare analys f\u00f6r att registrera konstigt beteende som kan f\u00f6rklaras och litas p\u00e5. I slut\u00e4ndan g\u00e5r bara en liten del av de mest betydelsefulla fl\u00f6dena och f\u00f6rfr\u00e5gningarna vidare till niv\u00e5 2 och 3. Utan till\u00e4mpning av s\u00e5dana metoder f\u00f6r maskininl\u00e4rning skulle driftskostnaderna f\u00f6r att s\u00e4rskilja signalen fr\u00e5n bruset vara f\u00f6r stora.<\/p>\n

<\/p>\n

Anomalidetektering.<\/strong> I det f\u00f6rsta steget av anomalidetektering anv\u00e4nds statistiska metoder f\u00f6r maskininl\u00e4rning f\u00f6r att separera statistiskt normal trafik fr\u00e5n anomaliteter. Mer \u00e4n 70 separata detektorer bearbetar telemetridata som Stealthwatch samlar in om trafiken som passerar genom ditt n\u00e4tverksgr\u00e4nssnitt, separerar intern DNS-trafik och proxydata om det finns s\u00e5dana. Varje f\u00f6rfr\u00e5gan bearbetas av mer \u00e4n 70 detektorer, d\u00e4r varje detektor anv\u00e4nder sin egen statistiska algoritm f\u00f6r att skapa en bed\u00f6mning av uppt\u00e4ckta anomaliteter. Dessa bed\u00f6mningar sammanst\u00e4lls, och genom att anv\u00e4nda flera statistiska metoder skapas en sammanfattande bed\u00f6mning f\u00f6r varje enskild f\u00f6rfr\u00e5gan. Denna sammanslagna bed\u00f6mning anv\u00e4nds sedan f\u00f6r att s\u00e4rskilja normal och anomal trafik.<\/p>\n

<\/p>\n

Modellering av f\u00f6rtroende.<\/strong> D\u00e4refter grupperas liknande f\u00f6rfr\u00e5gningar, och den sammanlagda bed\u00f6mningen av anomalier f\u00f6r s\u00e5dana grupper definieras som ett l\u00e5ngsiktigt genomsnitt. Med tiden uts\u00e4tts fler f\u00f6rfr\u00e5gningar f\u00f6r analys och efterf\u00f6ljande fastst\u00e4llande av l\u00e5ngsiktigt genomsnitt, vilket minskar falska positiva och negativa signaler. Resultaten av tillitsmodelleringen anv\u00e4nds f\u00f6r att v\u00e4lja en delm\u00e4ngd av trafiken vars anomalibed\u00f6mning \u00f6verstiger ett dynamiskt fastst\u00e4llt tr\u00f6skelv\u00e4rde, f\u00f6r att flytta det till n\u00e4sta behandlingsniv\u00e5.<\/p>\n

<\/p>\n

Niv\u00e5 2. Klassificering av h\u00e4ndelser och objektmodellering<\/h3>\n

<\/p>\n

P\u00e5 denna niv\u00e5 sker klassificering av resultaten som erh\u00e5llits under tidigare steg, med h\u00e4nvisning till specifika skadliga h\u00e4ndelser. Klassificeringen av h\u00e4ndelser utf\u00f6rs utifr\u00e5n det v\u00e4rde som tilldelas av maskininl\u00e4rningsklassificerare i syfte att s\u00e4kerst\u00e4lla en konstant noggrannhetsniv\u00e5 \u00f6ver 90%. Bland dem finns:<\/p>\n

<\/p>\n