{"id":90228,"date":"2020-07-30T01:42:34","date_gmt":"2020-07-29T23:42:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3"},"modified":"2020-07-30T01:42:34","modified_gmt":"2020-07-29T23:42:34","slug":"stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","title":{"rendered":"StealthWatch: analys och incidentutredning. Del 3","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/3efab47dd80ed8bd6a81dbca5bedcc72.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/cisco\/cisco-stealthwatch\">Cisco StealthWatch<\/a><\/noindex> \u00e4r en analytisk l\u00f6sning inom cybers\u00e4kerhet som erbjuder omfattande hot\u00f6vervakning i distribuerade n\u00e4tverk. StealthWatch baseras p\u00e5 insamling av NetFlow och IPFIX fr\u00e5n routrar, switchar och andra n\u00e4tverksenheter. Resultatet \u00e4r att n\u00e4tverket blir en k\u00e4nslig sensor, vilket g\u00f6r att administrat\u00f6ren kan se in p\u00e5 st\u00e4llen som traditionella n\u00e4tverksskydd, som Next Generation Firewall, inte kan n\u00e5.<\/p>\n<p>I tidigare artiklar har jag redan skrivit om StealthWatch: <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/458626\/\">f\u00f6rsta introduktionen och m\u00f6jligheterna<\/a><\/noindex>, samt <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/461831\/\">utveckling och konfigurering<\/a><\/noindex>. Nu f\u00f6resl\u00e5r jag att vi g\u00e5r vidare och diskuterar hur man b\u00f6r hantera larm och utreda s\u00e4kerhetsincidenter som l\u00f6sningen genererar. Det kommer att ges 6 exempel som jag hoppas ger en bra f\u00f6rst\u00e5else f\u00f6r produktens nyttighet.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><br \/>\nF\u00f6rst b\u00f6r det s\u00e4gas att StealthWatch har en viss uppdelning av larm i algoritmer och feeds. F\u00f6rsta \u00e4r olika slags larm (meddelanden) som n\u00e4r de aktiveras, kan uppt\u00e4cka misst\u00e4nkta saker i n\u00e4tverket. Andra \u00e4r s\u00e4kerhetsincidenter. I denna artikel kommer 4 exempel p\u00e5 algoritmlarm och 2 exempel p\u00e5 feeds att diskuteras.<\/p>\n<h2>1. Analys av de mest omfattande interaktionerna inom n\u00e4tverket<\/h2>\n<p>\nDet f\u00f6rsta steget i konfigurationen av StealthWatch \u00e4r att definiera v\u00e4rdar och n\u00e4tverk i grupper. I webbgr\u00e4nssnittet fliken <i>Configure &gt; Host Group Management<\/i> skall n\u00e4tverk, v\u00e4rdar och servrar delas in i l\u00e4mpliga grupper. Man kan \u00e4ven skapa egna grupper. F\u00f6r \u00f6vrigt \u00e4r analysen av interaktioner mellan v\u00e4rdar i Cisco StealthWatch ganska bekv\u00e4m, eftersom man inte bara kan spara s\u00f6kfilter baserat p\u00e5 fl\u00f6den, utan \u00e4ven sj\u00e4lva resultaten.<\/p>\n<p>F\u00f6r att b\u00f6rja b\u00f6r man g\u00e5 till fliken i webbgr\u00e4nssnittet <i>Analyze &gt; Flow Search<\/i>. Sedan m\u00e5ste f\u00f6ljande parametrar st\u00e4llas in:<\/p>\n<ul>\n<li>Search Type \u2014 Top Conversations (de mest popul\u00e4ra interaktionerna)<\/li>\n<li>Time Range \u2014 24 hours (tidsintervall, annan kan anv\u00e4ndas)<\/li>\n<li>Search Name \u2014 Top Conversations Inside-Inside (valfritt f\u00f6rst\u00e5eligt namn)<\/li>\n<li>Subject \u2014 Host Groups \u2192 Inside Hosts (k\u00e4lla \u2014 grupp av interna noder)<\/li>\n<li>Connection (kan ange portar, applikationer)<\/li>\n<li>Peer \u2014 Host Groups \u2192 Inside Hosts (m\u00e5l \u2014 grupp av interna noder)<\/li>\n<li>Under Advanced Options kan man dessutom ange samlare fr\u00e5n vilken data ses, utskriftsordning (efter bytes, fl\u00f6den och s\u00e5 vidare). Jag l\u00e4mnar det som standard.<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/fefc6d925ab3b155aeea2536dddaf7da.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEfter att ha tryckt p\u00e5 knappen <i>S\u00f6k <\/i>presenteras en lista med interaktioner som redan sorterat efter m\u00e4ngden \u00f6verf\u00f6rda data.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/3fa739dec55bd4a564ee78adc2ae0e91.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI mitt exempel, v\u00e4rden <i>10.150.1.201<\/i> (servern) inom bara en str\u00f6m \u00f6verf\u00f6rde<i> 1,5 GB<\/i> trafik till v\u00e4rden <i>10.150.1.200<\/i> (klienten) via protokollet <i>mysql<\/i>. Knappen <i>Hantera kolumner<\/i> m\u00f6jligg\u00f6r att l\u00e4gga till fler kolumner i den utdata som visas.<\/p>\n<p>D\u00e4refter kan administrat\u00f6ren skapa en anpassad regel som triggas kontinuerligt f\u00f6r denna typ av interaktioner och notifierar via SNMP, e-post eller Syslog. <\/p>\n<h2>2. Analys av de l\u00e5ngsammaste klient-serverinteraktionerna inom n\u00e4tverket med avseende p\u00e5 f\u00f6rdr\u00f6jningar<\/h2>\n<p>\nTaggar <b>SRT (Server Response Time)<\/b>, <b>RTT (Round Trip Time)<\/b> kan anv\u00e4ndas f\u00f6r att utreda serverf\u00f6rdr\u00f6jningar och allm\u00e4nna f\u00f6rdr\u00f6jningar i n\u00e4tverket. Detta verktyg \u00e4r s\u00e4rskilt praktiskt n\u00e4r man snabbt vill hitta orsaken till anv\u00e4ndarnas klagom\u00e5l p\u00e5 l\u00e5ngsamt fungerande applikationer.<\/p>\n<p><i>Anm\u00e4rkning<\/i>: praktiskt taget alla Netflow-export\u00f6rer <b>kan inte<\/b> skicka SRT, RTT-taggar, s\u00e5 f\u00f6r att se dessa data p\u00e5 FlowSensor m\u00e5ste man ofta konfigurera att skicka en kopia av trafiken fr\u00e5n n\u00e4tverksapparater. FlowSensor \u00e5 sin sida tillhandah\u00e5ller ut\u00f6kad IPFIX till FlowCollector.<\/p>\n<p>Denna analys \u00e4r mer praktisk att genomf\u00f6ra i java-applikationen StealthWatch, som installeras p\u00e5 administrat\u00f6rens dator.<\/p>\n<p>H\u00f6gerklicka p\u00e5 <i>Inuti v\u00e4rdar<\/i> och g\u00e5 till fliken <i>Fl\u00f6destabell<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/3a23cf8219fc2ad44eeab7da27d5e696.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nKlicka p\u00e5 <i>Filter <\/i>och st\u00e4ll in n\u00f6dv\u00e4ndiga parametrar. Som exempel:<\/p>\n<ul>\n<li>Datum\/Tid \u2014 F\u00f6r de senaste 3 dagarna<\/li>\n<li>Prestanda \u2014 Genomsnittlig Round Trip Time &gt;=50ms<\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/c7c717e336dc96fce48f05bc735cd14a.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/a0aad8dfa8e759f22486716221ddac82.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEfter att ha visat data b\u00f6r man l\u00e4gga till de RTT, SRT-f\u00e4lt som intresserar oss. F\u00f6r detta, klicka p\u00e5 kolumnen i bildsk\u00e4rmen och v\u00e4lj med h\u00f6ger musknapp <i>Hantera kolumner<\/i>. Forts\u00e4tt genom att klicka p\u00e5 RTT, SRT-parametrarna.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/069660512595d149353ea98b9fb7c828.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEfter att ha behandlat f\u00f6rfr\u00e5gan sorterades jag efter genomsnittlig RTT och s\u00e5g de l\u00e5ngsammaste interaktionerna.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/669e24fabc650d607b4767c50345a12b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nF\u00f6r att f\u00e5 en mer detaljerad information, klicka med h\u00f6ger musknapp p\u00e5 fl\u00f6det och v\u00e4lj <i>Snabb vy f\u00f6r Fl\u00f6de<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/6e03114b9cdbbef516d65cdc43c6b3e2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDenna information visar att v\u00e4rden <i>10.201.3.59<\/i> fr\u00e5n gruppen <i>F\u00f6rs\u00e4ljning och Marknadsf\u00f6ring<\/i> via protokollet <i>NFS<\/i> ansluter till <i>DNS-servern<\/i> under en minut och 23 sekunder och har en fruktansv\u00e4rd f\u00f6rdr\u00f6jning. I fliken <i>Gr\u00e4nssnitt <\/i>kan man ta reda p\u00e5 vilken Netflow-export\u00f6r datainformationen erh\u00f6lls fr\u00e5n. I fliken <i>Tabell <\/i> visas mer detaljerad information om interaktionen.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/66750a2e003972cabdea60096397f8be.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nD\u00e4refter m\u00e5ste vi ta reda p\u00e5 vilka enheter som skickar trafik till FlowSensor och problemet ligger sannolikt d\u00e4r.<\/p>\n<p>Dessutom \u00e4r StealthWatch unikt i det att det utf\u00f6r <b>deduplicering<\/b> data (sammanfogar samma fl\u00f6den). D\u00e4rf\u00f6r kan man samla in praktiskt taget fr\u00e5n alla Netflow-enheter utan att oroa sig f\u00f6r att det kommer att finnas m\u00e5nga duplicerade data. Tv\u00e4rtom, i detta schema hj\u00e4lper det att f\u00f6rst\u00e5 var just de st\u00f6rsta f\u00f6rdr\u00f6jningarna upptr\u00e4der.<\/p>\n<h2>3. Revision av kryptografiska protokoll f\u00f6r HTTPS<\/h2>\n<p>\n<b>ETA (Encrypted Traffic Analytics)<\/b> \u2014 en teknik utvecklad av Cisco som m\u00f6jligg\u00f6r detektering av skadliga anslutningar i krypterad trafik utan att dekryptera den. Dessutom g\u00f6r denna teknik det m\u00f6jligt att \"dekompilera\" HTTPS efter TLS-versioner och de kryptografiska protokoll som anv\u00e4nds vid anslutningar. Denna funktionalitet \u00e4r s\u00e4rskilt anv\u00e4ndbar n\u00e4r man beh\u00f6ver uppt\u00e4cka n\u00e4tverksnoder som anv\u00e4nder svaga kryptostandarder.<\/p>\n<p><i>Anm\u00e4rkning<\/i>: man b\u00f6r f\u00f6rst installera n\u00e4tverksappen p\u00e5 StealthWatch \u2014 <b>ETA Kryptografisk Revision<\/b>.<\/p>\n<p>Vi g\u00e5r till fliken <i>Dashboards \u2192 ETA Kryptografisk Revision<\/i> och v\u00e4lja den grupp av v\u00e4rdar som ska analyseras. F\u00f6r en \u00f6versikt v\u00e4ljer vi <i>Inuti v\u00e4rdar<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/2cac9b02089c027cc7908ce018638a68.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMan kan observera att TLS-versionen och den motsvarande kryptostandarden visas. Enligt det vanliga m\u00f6nstret i kolumnen <i>\u00c5tg\u00e4rder <\/i>g\u00e5r vi till <i>Visa Fl\u00f6den<\/i> och s\u00f6kningen startar i en ny flik.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/0b0a274b1538e58ad74a17e2a4eee160.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/ad99bdd25cd02247b6e76240fdd7edd6.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nFr\u00e5n utskriften framg\u00e5r det att v\u00e4rden <i>198.19.20.136<\/i> under <i>12 timmar<\/i> anv\u00e4nde HTTPS med TLS 1.2, d\u00e4r krypteringsalgoritmen <i>och s\u00e4kra protokoll<\/i> och hash-funktionen <i>SHA-384<\/i>. P\u00e5 s\u00e5 s\u00e4tt till\u00e5ter ETA att hitta svaga algoritmer i n\u00e4tverket.<\/p>\n<h2>4. Analys av anomalier i n\u00e4tverket<\/h2>\n<p>\nCisco StealthWatch kan k\u00e4nna igen trafikavvikelser i n\u00e4tverket genom att anv\u00e4nda tre verktyg: <b>K\u00e4rnh\u00e4ndelser<\/b> (s\u00e4kerhetsh\u00e4ndelser), <b>Relationsh\u00e4ndelser<\/b> (interaktionsh\u00e4ndelser mellan segment, n\u00e4tverksnoder) och <b>beteendeanalys<\/b>.<\/p>\n<p>Beteendeanalys g\u00f6r det m\u00f6jligt att \u00f6ver tid bygga en beteendemodell f\u00f6r en viss v\u00e4rd eller grupp av v\u00e4rdar. Ju mer trafik som passerar genom StealthWatch, desto mer exakta kommer triggarna att vara tack vare denna analys. I b\u00f6rjan triggar systemet ofta felaktigt, s\u00e5 reglerna b\u00f6r \"justeras\" manuellt. Jag rekommenderar att man under de f\u00f6rsta veckorna ignorerar s\u00e5dana h\u00e4ndelser, eftersom systemet kommer att anpassa sig sj\u00e4lv eller l\u00e4gga till dem i undantag.<\/p>\n<p>Nedan ges ett exempel p\u00e5 en f\u00f6rinst\u00e4lld regel <i>Anomali<\/i>, d\u00e4r det anges att h\u00e4ndelsen kommer att intr\u00e4ffa utan larm om <i>v\u00e4rden i gruppen Inre V\u00e4rdar interagerar med gruppen Inre V\u00e4rdar och under 24 timmar \u00f6verstiger trafiken 10 megabyte.<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/9f13165149dfab7e6cf5cf038e1573e5.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSom exempel tar vi larmet <i>Data Hoarding<\/i>, vilket betyder att n\u00e5gon v\u00e4rd f\u00f6r k\u00e4llan\/m\u00e5let har laddat ner\/\u00f6verf\u00f6rt en onormalt stor m\u00e4ngd data fr\u00e5n en grupp v\u00e4rdar eller en v\u00e4rd. Vi trycker p\u00e5 h\u00e4ndelsen och dyker ner i tabellen d\u00e4r de utl\u00f6sande v\u00e4rdarna anges. H\u00e4r v\u00e4ljer vi den v\u00e4rd vi \u00e4r intresserade av i kolumnen <i>Data Hoarding<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/5bac3325f9f34342802d115c4a13bf39.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/5e065344005db20d276a800d8362a347.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEn h\u00e4ndelse visas som s\u00e4ger att 162k \u201cpo\u00e4ng\u201d har uppt\u00e4ckts, medan policyn till\u00e5ter 100k \u201cpo\u00e4ng\u201d \u2014 dessa \u00e4r interna metrik f\u00f6r StealthWatch. I kolumnen <i>\u00c5tg\u00e4rder <\/i>klicka p\u00e5 <i>Visa Fl\u00f6den<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/352df8d925fe46246a35677482d65030.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVi kan se att <i>denna v\u00e4rd<\/i> interagerade p\u00e5 natten med v\u00e4rden <i>10.201.3.47<\/i> fr\u00e5n avdelningen <i>F\u00f6rs\u00e4ljning &amp; Marknadsf\u00f6ring<\/i> via protokollet <i>HTTPS <\/i>och laddade ner <i>1.4 GB<\/i>. Detta exempel kanske inte \u00e4r helt lyckat, men detektering av interaktioner p\u00e5 flera hundra gigabyte sker p\u00e5 samma s\u00e4tt. D\u00e4rf\u00f6r kan vidare unders\u00f6kning av anomalier leda till intressanta resultat.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/923992706b36b18d2709feb444f7cf14.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>Anm\u00e4rkning<\/i>: i SMC:s webgr\u00e4nssnitt visas data under flikarna <i>Dashboards <\/i>endast f\u00f6r den senaste veckan och under fliken <i>Monitor<\/i> f\u00f6r de senaste 2 veckorna. F\u00f6r att analysera \u00e4ldre h\u00e4ndelser och f\u00f6r att generera rapporter kr\u00e4vs arbete med java-konsolen p\u00e5 administrat\u00f6rens dator.<\/p>\n<h2>5. Identifiering av interna n\u00e4tverksskanningar<\/h2>\n<p>\nNu ska vi g\u00e5 igenom n\u00e5gra exempel p\u00e5 incidenter inom informationss\u00e4kerhet. Denna funktionalitet \u00e4r mer intressant f\u00f6r s\u00e4kerhetsteam.<\/p>\n<p>Det finns flera f\u00f6rinstallerade typer av skanning f\u00f6r StealthWatch:<\/p>\n<ul>\n<li>Port Scan \u2014 k\u00e4llan skannar m\u00e5nga portar p\u00e5 destinationens nod.<\/li>\n<li>Addr tcp scan \u2014 k\u00e4llan skannar hela n\u00e4tverket p\u00e5 en och samma TCP-port, samtidigt som den \u00e4ndrar destinationens IP-adress. Under tiden f\u00e5r k\u00e4llan TCP Reset-paket eller f\u00e5r inga svar alls.<\/li>\n<li>Addr udp scan \u2014 k\u00e4llan skannar hela n\u00e4tverket p\u00e5 en och samma UDP-port, medan den \u00e4ndrar destinationens IP-adress. K\u00e4llan f\u00e5r ICMP Port Unreachable-paket eller f\u00e5r inga svar alls.<\/li>\n<li>Ping Scan \u2014 k\u00e4llan skickar ICMP-f\u00f6rfr\u00e5gningar till hela n\u00e4tverket f\u00f6r att s\u00f6ka efter svar.<\/li>\n<li>Stealth Scan tcp\/udp \u2014 k\u00e4llan anv\u00e4nde samma port f\u00f6r att ansluta till m\u00e5nga portar p\u00e5 destinationens nod samtidigt.<\/li>\n<\/ul>\n<p>\nF\u00f6r en mer praktisk identifiering av alla interna skannrar finns det en n\u00e4tverksapp f\u00f6r <i>StealthWatch \u2014 Visibility Assessment<\/i>. Genom att g\u00e5 till fliken <i>Dashboards \u2192 Visibility Assessment \u2192 Internal Network Scanners<\/i> kommer du att se s\u00e4kerhetsincidenter relaterade till skanning under de senaste 2 veckorna.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/eb72d246b44752e8441afd500178fc02.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nGenom att trycka p\u00e5 knappen <i>Details<\/i>, kommer att visa b\u00f6rjan av scanningen av varje n\u00e4tverk, trafiktrenden och motsvarande larm.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/b4ef9ec46040cdab026b83d03eda615f.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nD\u00e4refter kan man \"dyka in\" i v\u00e4rden fr\u00e5n fliken i f\u00f6reg\u00e5ende sk\u00e4rmbild och se s\u00e4kerhetsh\u00e4ndelser, samt aktivitet f\u00f6r den senaste veckan f\u00f6r denna v\u00e4rd.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/7f8d57e2d29930fcd5febf5a44cca714.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/7ce0e489618c072958a3416e342900eb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSom ett exempel kommer vi att analysera h\u00e4ndelsen <i>Portskanning<\/i> fr\u00e5n v\u00e4rden <i>10.201.3.149<\/i> till <i>10.201.0.72<\/i>, genom att klicka p\u00e5 <i>Actions &gt; Associated Flows<\/i>. En s\u00f6kning efter fl\u00f6den startas och relevant information visas.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/07f86540fae01171c8dfea68c8451a47.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nSom vi ser har denna v\u00e4rd fr\u00e5n en av sina portar <i>51508\/TCP<\/i> skannat m\u00e5lv\u00e4rden f\u00f6r<i> 22, 28, 42, 41, 36, 40 (TCP)<\/i>. Vissa f\u00e4lt visar ingen information, antingen f\u00f6r att inte alla Netflow-f\u00e4lt st\u00f6ds av Netflow-export\u00f6ren.<\/p>\n<h2>6. Analys av nedladdade skadliga program med hj\u00e4lp av CTA<\/h2>\n<p>\n<b>CTA (Cognitive Threat Analytics)<\/b> \u2014 molnanalys fr\u00e5n Cisco som integreras perfekt med Cisco StealthWatch och m\u00f6jligg\u00f6r att komplettera signaturanalys med signaturesl\u00f6s analys. Detta m\u00f6jligg\u00f6r detektering av trojaner, n\u00e4tmaskar, zero-day-malware och andra skadliga program samt deras spridning inom n\u00e4tverket. Teknologin EDA som n\u00e4mnts tidigare m\u00f6jligg\u00f6r ocks\u00e5 analys av s\u00e5dana skadliga kommunikationer \u00e4ven i krypterad trafik.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/68d86dc9686e2f0c754181db73411ab8.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nBokstavligen p\u00e5 den f\u00f6rsta fliken i webbgr\u00e4nssnittet finns en specialwidget <i>Cognitive Threat Analytics<\/i>. En kort sammanfattning visar p\u00e5 uppt\u00e4ckta hot p\u00e5 anv\u00e4ndarv\u00e4rdar: trojaner, bedr\u00e4gliga program, p\u00e5tr\u00e4ngande reklamprogram. Ordet \u201cEncrypted\u201d indikerar just EDA:s funktion. Genom att klicka p\u00e5 v\u00e4rden f\u00e5r man all information, inklusive s\u00e4kerhetsh\u00e4ndelser och loggar f\u00f6r CTA.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/a49a2ae655c1dfa89cdcb194c8f38c51.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/f6bbe9585060ecb46712584924125fa3.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nGenom att h\u00e5lla muspekaren \u00f6ver varje steg i CTA visas detaljerad information om interaktionerna. F\u00f6r fullst\u00e4ndig analys b\u00f6r man klicka p\u00e5 <i>View Incident Details<\/i>, och du hamnar i en separat konsol. <i>Cognitive Threat Analytics<\/i>.<\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/8737a4da2133ee4b72e830f9208f4d11.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nI det \u00f6vre h\u00f6gra h\u00f6rnet l\u00e5ter filtret dig visa h\u00e4ndelser efter kritikalitetsniv\u00e5. N\u00e4r man pekar p\u00e5 en specifik anomal kan loggar med motsvarande tidslinje visas l\u00e4ngst ner p\u00e5 sk\u00e4rmen. P\u00e5 s\u00e5 s\u00e4tt f\u00f6rst\u00e5s det tydligt av s\u00e4kerhetsavdelningens specialist vilken infekterad v\u00e4rd som, efter vilka \u00e5tg\u00e4rder, b\u00f6rjade utf\u00f6ra vilka handlingar.<\/p>\n<p>Nederst visas ytterligare ett exempel \u2014 en banktrojan som infekterade v\u00e4rden <i>198.19.30.36<\/i>. Denna v\u00e4rd b\u00f6rjade interagera med skadliga dom\u00e4ner, och loggarna visar information om fl\u00f6dena av dessa interaktioner. <\/p>\n<p><img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/d5faba6e8ec2addff8e18b83548e65fe.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<img decoding=\"async\" alt=\"StealthWatch: analys och incidentutredning. Del 3\" src=\"\/wp-content\/uploads\/2020\/07\/a5f880407468b6fc62805d68c2d672cb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEtt av de b\u00e4sta l\u00f6sningarna som kan finnas \u00e4r att s\u00e4tta en host i karant\u00e4n med hj\u00e4lp av den inbyggda <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/511726\/\">integrationen <\/a><\/noindex>med Cisco ISE f\u00f6r vidare behandling och analys. <\/p>\n<h2>Slutsats<\/h2>\n<p>\nCisco StealthWatch-l\u00f6sningen \u00e4r en av ledarna bland n\u00e4tverks\u00f6vervakningsprodukter, b\u00e5de vad g\u00e4ller n\u00e4tverksanalys och informationss\u00e4kerhet. Den g\u00f6r det m\u00f6jligt att uppt\u00e4cka illegitima interaktioner inom n\u00e4tverket, applikationsf\u00f6rdr\u00f6jningar, de mest aktiva anv\u00e4ndarna, anomalier, skadlig programvara och APT. Dessutom kan den identifiera skanningar, penetrationstestare och utf\u00f6ra kryptorevision av HTTPS-trafik. Ytterligare anv\u00e4ndningsomr\u00e5den kan du hitta p\u00e5 <noindex><a rel=\"nofollow\" href=\"https:\/\/cisco.bravais.com\/s\/lnmF3Eowwg51t7Rj9DtD\">l\u00e4nken<\/a><\/noindex>.<\/p>\n<p>Om du vill kontrollera om allt fungerar smidigt och effektivt i ditt n\u00e4tverk, skicka en <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/katalog\/cisco\/cisco-stealthwatch\">f\u00f6rfr\u00e5gan<\/a><\/noindex>. <br \/>\nInom en snar framtid planerar vi ytterligare tekniska publikationer om olika s\u00e4kerhetsprodukter. Om du \u00e4r intresserad av detta \u00e4mne, f\u00f6lj v\u00e5ra uppdateringar i v\u00e5ra kanaler (<noindex><a rel=\"nofollow\" href=\"https:\/\/t.me\/tssolution\">Telegram<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.facebook.com\/tssolution2020\/\">Facebook<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/vk.com\/ts_solution\">VK<\/a><\/noindex>, <noindex><a rel=\"nofollow\" href=\"https:\/\/tssolution.ru\/blog\">TS Solution Blog<\/a><\/noindex>)!<br \/>\n<br \/>K\u00e4lla: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/tssolution\/blog\/509812\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>Cisco StealthWatch \u2014 \u044d\u0442\u043e \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 \u0432 \u043e\u0431\u043b\u0430\u0441\u0442\u0438 \u0418\u0411, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u0435\u0442 \u0432\u0441\u0435\u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0439 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433 \u0443\u0433\u0440\u043e\u0437 \u0432 \u0440\u0430\u0441\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. \u0412 \u043e\u0441\u043d\u043e\u0432\u0435 \u0440\u0430\u0431\u043e\u0442\u044b StealthWatch \u043b\u0435\u0436\u0438\u0442 \u0441\u0431\u043e\u0440 NetFlow \u0438 IPFIX \u0441 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432, \u043a\u043e\u043c\u043c\u0443\u0442\u0430\u0442\u043e\u0440\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u0441\u0435\u0442\u044c \u0441\u0442\u0430\u043d\u043e\u0432\u0438\u0442\u0441\u044f \u0447\u0443\u0432\u0441\u0442\u0432\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c \u0441\u0435\u043d\u0441\u043e\u0440\u043e\u043c \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0443 \u0437\u0430\u0433\u043b\u044f\u043d\u0443\u0442\u044c \u0442\u0443\u0434\u0430, \u043a\u0443\u0434\u0430 \u043d\u0435 \u043c\u043e\u0433\u0443\u0442 \u0434\u043e\u0431\u0440\u0430\u0442\u044c\u0441\u044f \u0442\u0440\u0430\u0434\u0438\u0446\u0438\u043e\u043d\u043d\u044b\u0435 \u043c\u0435\u0442\u043e\u0434\u044b \u0437\u0430\u0449\u0438\u0442\u044b \u0441\u0435\u0442\u0438, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Next Generation [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":90229,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-90228","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sv_SE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47StealthWatch: \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. \u0427\u0430\u0441\u0442\u044c 3 | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-07-29T23:42:34+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-07-29T23:42:34+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47StealthWatch: analys och utredning av incidenter. Del 3 | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47StealthWatch: \u0430\u043d\u0430\u043b\u0438\u0437 \u0438 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432. \u0427\u0430\u0441\u0442\u044c 3 | ProHoster","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/stealthwatch-analiz-i-rassledovanie-inczidentov-chast-3","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-07-29T23:42:34+00:00","article:modified_time":"2020-07-29T23:42:34+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"90228","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:55:29","updated":"2022-10-02 06:01:42","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/90228","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=90228"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/90228\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/90229"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=90228"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=90228"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=90228"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}