Как называется анализ сетевого трафика

Что такое NTA?

Внедрение решения, способного непрерывно мониторить сетевой трафик, дает пользователям информацию, необходимую для оптимизации производительности и улучшения безопасности сети, минимизации поверхности хакерских атак, повышения безопасности и улучшения управления ресурсами. Тут в игру и вступает анализ сетевого трафика (NTA). Давайте разберемся, что такое NTA?

• Сбора данных о том, что происходило и происходит в сети в режиме реального времени;
• Обнаружения вредоносных программ;
• Обнаружения уязвимых протоколов и шифров;
• Диагностики необычно медленной сети;
• Устранения «слепых зон» в защите и охвата комплексным мониторингом всей инфраструктуры.

Что является источником данных для NTA?

Важно учитывать типы данных, которые анализирует NTA:

1. Данные о идущих потоках, получаемые с таких устройств, как маршрутизаторы и коммутаторы.
2. Данные пакетов в виде копии трафика с SPAN, зеркальных портов и сетевых TAP, виртуальных vTAP, RSPAN, ERSPAN и GRE.

Почему NTA – это здорово?

Потому что у анализа сетевого трафика множество преимуществ:

• Улучшенную видимость устройств, подключающихся к сети пользователя;
• Соответствие нормативным требованиям;
• Устранение неполадок в работе и безопасности сети;
• Оперативное выявление угроз в трафике на основе индикаторов компрометации;
• Значительное расширение возможностей Threat Hunting и ретроспективного анализа по индикаторам компрометации;

Почему анализ сетевого трафика важен?

Даже при наличии самых надежных брандмауэров могут возникнуть бреши в защите, через которые может пройти нежелательный трафик. Тем более, когда даже обычные пользователи могут обойти брандмауэры, используя туннелирование, анонимайзеры для внешних ссылок и VPN. Мониторинг своего сетевого периметра – всегда хорошая практика. Но по статистике взломов периметр злоумышленник проходит за 1-2 дня, а в некоторые компании можно проникнуть за 30 минут. Поэтому важно контролировать внутренний трафик, где злоумышленник будет перемещаться от устройства к устройству.

Кроме того, рост числа вымогательских атак делает мониторинг сетевого трафика еще более важным. NTA системы должны быть способны распознавать аномальную активность собственных сотрудников, указывающую то что они взломаны и на то что началось распространение сетевого червя. Часто вымогательское ПО работает сначала как сетевой червь и затем запускается везде одновременно.

Еще стоит обратить внимание на протокол удаленного рабочего стола (RDP), который часто становится целью хакеров. Его безопасность тоже можно повысить с помощью NTA.

Мониторинг трафика внутри сети поможет проверить правила межсетевого экрана, получить ценные сведения о передаваемых логинах и паролях в открытом виде, а также об использовании скрытых туннелей, что требует наличие глубокого анализа сетевого трафика.

Для чего нужен NTA?

NTA используется для широкого спектра задач:

• Обнаружение активности вымогательского ПО;
• Отслеживание утечек данных/подозрительной интернет-активности;
• Контроль доступа к файлам на файловых серверах или базам данных MSSQL;
• Отслеживание активности пользователя в сети;
• Инвентаризации устройств, серверов и служб, работающих в сети;
• Обнаружение первопричины пиков трафика сети;
• Предоставление информационных панелей в режиме реального времени;
• Создание отчетов о сетевой активности за любой период времени.

Как выбрать NTA решение?

При выборе NTA для своей организации, помните:

1. У вас должны быть устройства с собирающие информацию о работе сети. Чаще всего в сети уже есть маршрутизаторы и свитчи поставляющие статистику о потоках трафика для NTA.
2. Идеальным источником данных о потоках являются устройства глубокого разбора трафика, поскольку они не только собирают статистику ИТ метрик в NTA но и могут распознавать атаки функционалом системы обнаружения атак, анализировать детально метаданные протоколов, видеть передаваемые файлы и отправлять их на анализ в песочницу. Вам нужно решить, какие фрагменты трафика являются критическими, чтобы убедиться, что ваши инструменты охватывают все, что нужно.
3. Вы должны знать, использует ли NTA программное обеспечение на основе агентов или нет. Также будьте осторожны и не пытайтесь контролировать слишком много источников данных и не храните журналы слишком долго.
4. Вам нужно знать, какие данные собирает и хранит инструмент. Для анализа событий важно собирать исторические данные, однако не все NTA инструменты сохраняют их. Нужно четко понимать, какие данные вам важнее всего, чтобы найти самый оптимальный вариант для своих потребностей и бюджета.
5. Некоторые инструменты DPI захватывают и сохраняют все пакеты, из-за чего увеличивается качество обнаружения и удобство разбора инцидентов и threat hunting. Это также влияет на цену на устройств, поскольку увеличивается стоимость хранения данных и расширяется функционал анализа. Кроме того, вам нужно будет потратить больше времени, чтобы научиться работать с ними: ведь в таких устройствах множество модулей анализа, включая Machine Learning и другие. Другие инструменты берут на себя больше “тяжелой работы», захватывая полные пакеты, извлекая важные детали и метаданные для каждого протокола. Такой метод извлечения метаданных значительно сокращает объем данных, но при этом сохраняет читаемые и полезные детали, которые подходят как для сетевых, так и для ИБ-специалистов.

Подведем итоги

NTA – это современный метод обнаружения вредоносных программ, аномалий различного типа, также используемый для максимизации производительности сети и предупреждения атак. Наряду с агрегацией журналов, UEBA и данными конечных точек, сетевой трафик является основным элементом комплексного анализа видимости и безопасности для быстрого обнаружения угроз и их последующего устранения. При выборе NTA решения помните про существующие «слепые зоны» в вашей сети и источники данных, информация из которых вам необходима. Интегрировав NTA в качестве уровня к вашему решению для управления информацией и событиями безопасности (SIEM) вы получите еще больше данных о вашей среде и ваших пользователях.

Пройдите по шифрованной тропе информационной безопасности – подпишитесь на наш ТГ-канал!

Мониторинг и диагностика ИТ-инфраструктуры

Profitap — волоконно-оптические и медные сетевые ответвители трафика, регенерирующие, агрегирующие и bypass ‐тапы (TAP), сетевые пакетные брокеры (NPB), сетевые средства захвата и анализа трафика серий ProfiShark, ProfiSight и IOTA.

Для бесперебойной работы любого бизнеса необходимо наличие эффективного сетевого мониторинга и анализа для выявления проблем в сетях. Неисправности в сети могут вызвать падение её производительности, что, в свою очередь, приведет к огромной потере времени и средств предприятия.

Устройства серии ProfiShark представляют собой специальные портативные сетевые ТАР-устройства для диагностики Ethernet и волоконно-оптических линий связи, мониторинга сети, захвата и анализа трафика. ProfiShark позволяет получить легкий доступ к сети и захватывать каждый пакет с точной отметкой времени. Это обеспечит получение высококачественных данных, которые можно использовать в программном анализаторе пакетов, например, в Wireshark, или сохранять непосредственно на диск для последующего анализа.

IOTA ― это универсальное комплексное решение, объединяющее возможности захвата, хранения и аналитики в одном устройстве. Его можно легко развернуть в любом месте, как в портативном, так и в стоечном исполнении. Линейная схема IOTA изолирована от других интерфейсов, внутреннего хранилища и обработки анализа, обеспечивая целостность контролируемой сети.

Network Packet Broker (NPB) ― это устройство, которое оптимизирует поток трафика между соединениями TAP и SPAN и инструментами мониторинга, безопасности и оптимизации сети. Поддерживая сопоставление портов «многие ко многим» (M: M) сетевых портов с портами мониторинга, NPB могут максимально эффективно направлять сетевой трафик и применять фильтры для оптимизации использования полосы пропускания в сети. Это также означает, что производительность внешних инструментов увеличится, поскольку они получат только самые необходимые данные.

Оптоволоконные ответвители (TAP), разработанные для обеспечения бесперебойного оперативного мониторинга оптоволоконных сетей 1G, 10G, 40G и 100G, отслеживают все 7 уровней OSI, пакеты всех размеров и типов и ошибки нижнего уровня. Не оказывают негативных воздействий, не имеют IP-адресов и изолируют устройства мониторинга от сети для полной безопасности.

Медные Ethernet ответвители легко дублируют полнодуплексный трафик 10M / 100M / 1G / 10G на скорости соединения, что позволяет им просматривать все 7 уровней, включая пакеты всех размеров и типов, а также ошибки нижнего уровня.

TAP регенераторы позволяют использовать для ответвления волоконно-оптическую линию без потери мощности оптического сигнала. TAP регенерации компенсируют потери оптического сигнала, возникающее в результате его расщепления. Регенерируется сигнал как на сетевых, так и на портах мониторинга.

TAP-репликаторы. В ситуациях, когда вы хотите отслеживать один критический сегмент сети с помощью нескольких инструментов, вам нужен TAP-репликации. TAP репликации отправляет копию сетевого трафика нескольким инструментам мониторинга одновременно.

Агрегирующие TAP соединяют МНОГО сетевых портов с ОДНИМ портом мониторинга (M: 1), объединяя несколько потоков входящего в один поток исходящего трафика.

Bypass TAP могут поддерживать активные встроенные средства сетевой безопасности и производительности. Они были разработаны, чтобы избежать проблемы «единой точки отказа» с другими устройствами безопасности.

Profitap vTAP обеспечит полную видимость трафика виртуальных машин (включая трафик между ВМ) для мониторинга безопасности, доступности и производительности.

ProfiSight позволяет быстро просматривать данные потока, извлекая метаданные из захваченного потока пакетов с помощью ProfiShark или других источников файлов захвата. Вы можете получить обзор общего состояния в несколько кликов и определить проблемы безопасности или производительности в сети.

Исследование сетевого трафика

Специально для будущих студентов курса «Network engineer. Basic» наш эксперт — Александр Колесников подготовил интересный авторский материал.

Также приглашаем принять участие в открытом онлайн-уроке на тему «STP. Что? Зачем? Почему?». Участники урока вместе с экспертом рассмотрят протокол STP, разберут логику его работы, разберут его преимущества и недостатки.

Статья расскажет, как можно работать с сетевым трафиком. На примере нескольких дампов сетевого трафика будет разобрана работа нескольких полезных инструментов, показаны подходы к извлечению и сборке информации из трафика.

Инструментарий и методика исследования

Для разбора трафиков будем использовать следующее программное обеспечение:

Все инструменты не нуждаются в особенно развернутом представлении, так как являются единственными в своем роде бесплатными решениями для работы с трафиком. Первые два tshark и wireshark вообще предоставляются в составе одного и того же решения. Оба инструмента позволяют выполнять запись и разбор трафика с точки зрения статистики, передаваемых данных и структурах протокола.

Попробуем использовать эти инструменты на записанных сетевых трафиках. Все трафики взяты из различных ресурсов и собраны вот здесь, поэтому читатель при желании может самостоятельно провести их анализ по инструкциям из статьи.

Disclamer: Все файлы трафиков взяты из различных соревнований CTF, все права на задания принадлежат их авторам.

Для исследования трафиков будем придерживаться минимальной стратегии:

1. Определить количество участников сети;
2. Определить стек используемых протоколов;
3. На основании пункта 2 принять решение искать данные по убыванию популярности использования трафика;
4. Если выясняется, что данные, которые передаются в трафике, не были обработаны дополнительным кодированием, то применять фильтр по тексту.

Примеры разбора трафика

Первое задание для разбора:

1.pcap(9cd84b46fee506dae818ecdca76607d1) . Задача — найти данные, которые будут содержать информацию вида FLAG-. . Приступим к разбору. Пройдемся по методике, которую описали в прошлом пункте:

Количество участников в сети очень просто определить при помощи WireShark (Всё, что описано для этого инструмента, можно повторить и на tshark . Автор использует WireShark для наглядности). В опциях WireShrak выбираем «Statistics->Endpoints»:

Итого у нас 8 уникальных IP адресов, которые участвовали во взаимодействии. Определим стек протоколов. Сделать это можно в том же самом меню «Statistics->Protocol Hierarchy»:

Итак, самый популярный протокол взаимодействия — http. Этот протокол внутри файла pcap хранится в текстовом представлении поэтому можно попробовать показать все данные из body пересылаемых данных и отфильтровать данные по формату искомой строки. Попробуем это сделать с помощью tshark . Команда для фильтра будет выглядеть так:

 tshark -r ./1.pcap -Y http -Tfields -e http.file_data | grep "FLAG"

В результате получаем результат:

Второй файл для исследования — 2.pcap (9a67e1fb9e529b7acfc6e91db6e1b092) . Проведем этапы исследования. Количество участников взаимодействия:

В этом случае участников 13 — задание усложняется. Какие протоколы используются:

К сожалению, в этот раз всё не так просто с используемыми протоколами для передачи данных. Среди информации пересылаемой через tcp протокол ничего интересного для нашего задания не встретилось. В udp же попалось кое-что интересное:

tshark -r ./2.pcap -Y 'dns' 

Однако, если обратить внимание на резолв локальных адресов через dns, то мы можем обнаружить вот такую картину:

Странная часть ip адреса, которая очень похожа на какие-то кодированные шестнадцатеричные символы. Попробуем их провести через кодировку:

tshark -r ./2.pcap -Y '!icmp.code && dns.qry.name contains 192.168' -Tfields -e dns.qry.name | tr '.' ' ' |awk '' |xxd -r

Полученная строка очень похожа на base64 кодировку, раскодируем:

base64 -D 

tshark -r ./3.pcap -Y http

python data = [] with open('dump') as f: data = f.read() with open('tesst.zip','w') as w: w.write(data[1010788:])

7z x ./test.zip