Anomalien erkennen

Beim Erkennen von Anomalien geht es darum, Datenverkehr zu identifizieren, der von der Basislinie eines Netzwerks abweicht. Sie können Abweichungen erst erkennen, wenn Sie das normale Verhalten kennen.

In dieser Lektion geht es um häufige Muster, die auf schädliche Aktivitäten hinweisen.

Ein Port-Scan zeigt sich darin, dass eine Quelle viele Ports eines Hosts kontaktiert, häufig mit SYN-Paketen, auf die RST-Antworten folgen.

Eine Folge von SYNs an aufeinanderfolgenden Ports von einer einzelnen IP-Adresse ist ein klassisches Merkmal.

Schadsoftware führt häufig Beaconing durch: Sie kontaktiert in regelmäßigen Abständen einen Command-and-Control-Server. Das verräterische Merkmal sind regelmäßig wiederkehrende Verbindungen ähnlicher Größe zum selben Ziel.

Achten Sie auf einen taktgenauen zeitlichen Ablauf, wie er beim menschlichen Surfen niemals vorkommt.

DNS-Tunneling schmuggelt Daten in DNS-Abfragen. Das typische Merkmal sind viele lange, zufällig wirkende Subdomains unter einer Domain.

Ein hohes Abfragevolumen zu einer einzelnen Domain mit codierten Labels ist verdächtig.

Achten Sie auf Protokolle an den falschen Ports: SSH auf Port 443 oder rohes TCP, wo Sie HTTPS erwarten würden.

Angreifer verbergen Datenverkehr auf gängigen Ports, um Firewalls zu umgehen. Die Protokollerkennung von Wireshark hilft, solche Abweichungen zu erkennen.

Wenn eine Arbeitsstation plötzlich Gigabytes nach außen überträgt, kann das auf eine Datenexfiltration hindeuten.

Verwenden Sie Statistics Conversations und sortieren Sie nach Bytes, um Hosts zu finden, die ungewöhnlich große Datenmengen an externe IP-Adressen übertragen.

In HTTP können ungewöhnliche oder leere User-Agent-Zeichenfolgen auf automatisierte Tools oder Schadsoftware hindeuten, die sich nicht einmal die Mühe gemacht hat, ihre Identität zu verschleiern.

Filtern Sie nach ungewöhnlichen User-Agents, um skriptgesteuerte Clients sichtbar zu machen.

Viele RST-Pakete oder wiederholte SYNs ohne erfolgreichen Abschluss können auf Scanning, Brute-Force-Angriffe oder einen Denial-of-Service-Versuch hindeuten.

Ein Anstieg halb offener Verbindungen ist eine Untersuchung wert.

Achten Sie in lokalen Netzwerken auf ARP-Anomalien: zwei IP-Adressen, die dieselbe MAC-Adresse beanspruchen, oder schnell aufeinanderfolgende ARP-Antworten. Dies deutet auf einen Man-in-the-Middle-Angriff oder ARP-Spoofing hin.

Wireshark kennzeichnet ARP-Nachrichten mit doppelten Adressen automatisch.

Ein einzelnes ungewöhnliches Paket beweist nur selten einen Angriff. Erhöhen Sie die Gewissheit, indem Sie mehrere Indikatoren über die Zeit und über verschiedene Hosts hinweg korrelieren.

Ein Beacon zusammen mit einer bekannten schädlichen Domain und einer großen Datenübertragung ergibt einen starken Verdacht; jedes einzelne Merkmal für sich ist schwach.

Neben Wireshark wandeln Tools wie Zeek und Suricata rohe Pakete in strukturierte Protokolle und Warnmeldungen im großen Maßstab um.

Sie automatisieren einen großen Teil der Anomalieerkennung, die Sie sonst manuell durchführen müssten.

Testen Sie Ihr Verständnis der Anomalieerkennung.

Sie haben gelernt, Anomalien im Datenverkehr zu erkennen.

• Port-Scans: eine Quelle, viele Ports.
• Beaconing: zeitlich regelmäßige C2-Verbindungen.
• DNS-Tunneling: lange, zufällig wirkende Subdomains.
• Achten Sie auf Protokolle an falschen Ports, große ausgehende Datenübertragungen, RST-Stürme und ARP-Spoofing.
• Korrelieren Sie mehrere Indikatoren; verwenden Sie Zeek und Suricata im großen Maßstab.

Als Nächstes extrahieren Sie Dateien und Zugangsdaten aus Mitschnitten.