Rilevamento delle anomalie

Rilevare le anomalie significa individuare il traffico che si discosta dalla baseline di una rete. Non può riconoscere ciò che è anomalo finché non sa che cosa è normale.

Questa lezione tratta i pattern più comuni che rivelano attività dannose.

Una scansione delle porte si manifesta quando una singola sorgente contatta molte porte di un host, spesso con pacchetti SYN che ricevono risposte RST.

Una raffica di SYN diretti a porte sequenziali da un singolo IP è una firma classica.

Il malware spesso esegue attività di beaconing: contatta un server di comando e controllo a intervalli regolari. L'indizio è rappresentato da connessioni periodiche, di dimensioni simili, verso la stessa destinazione.

Cerchi una temporizzazione precisa come un orologio, tipica di attività che la navigazione umana non presenta mai.

Il tunneling DNS nasconde i dati all'interno delle query DNS. Il segnale caratteristico è costituito da molti sottodomini lunghi e dall'aspetto casuale sotto un unico dominio.

Un volume elevato di query verso un singolo dominio con etichette codificate è sospetto.

Presti attenzione ai protocolli sulle porte sbagliate: SSH sulla 443 o TCP grezzo dove ci si aspetterebbe HTTPS.

Gli aggressori nascondono il traffico su porte comuni per eludere i firewall. Il rilevamento dei protocolli di Wireshark aiuta a individuare questa discrepanza.

Una workstation che improvvisamente invia gigabyte in uscita può indicare un'esfiltrazione di dati.

Utilizzi Statistics Conversations e ordini i risultati per numero di byte per individuare gli host che inviano volumi insoliti verso IP esterni.

In HTTP, stringhe User-Agent insolite o vuote possono segnalare strumenti automatizzati o malware che non si sono preoccupati di dissimularsi.

Filtri gli agenti insoliti per portare alla luce i client basati su script.

Molti pacchetti RST o SYN ripetuti senza completamento possono indicare attività di scansione, tentativi di forza bruta o un attacco di negazione del servizio.

Un aumento delle connessioni semiaperte merita un'indagine.

Nelle reti locali, presti attenzione alle anomalie ARP: due IP che dichiarano lo stesso MAC oppure risposte ARP rapide e ripetute. Questi segnali suggeriscono un attacco man-in-the-middle o ARP spoofing.

Wireshark segnala automaticamente i pacchetti ARP con indirizzi duplicati.

Un singolo pacchetto insolito raramente dimostra un attacco. Aumenti il livello di certezza correlando più indicatori nel tempo e tra diversi host.

Un beacon insieme a un dominio noto come dannoso e a un trasferimento di grandi dimensioni costituisce un caso convincente; preso singolarmente, ciascun elemento è debole.

Oltre a Wireshark, strumenti come Zeek e Suricata trasformano i pacchetti grezzi in log strutturati e avvisi su larga scala.

Automatizzano gran parte del rilevamento delle anomalie che altrimenti dovrebbe eseguire manualmente.

Verifichi la sua comprensione del rilevamento delle anomalie.

Ha imparato a rilevare le anomalie nel traffico.

• Scansioni delle porte: una sorgente, molte porte.
• Beaconing: connessioni C2 regolari e temporizzate.
• Tunneling DNS: sottodomini lunghi e casuali.
• Presti attenzione ai protocolli sulle porte sbagliate, ai trasferimenti in uscita di grandi dimensioni, alle raffiche di RST e allo spoofing ARP.
• Correli più indicatori e utilizzi Zeek e Suricata su larga scala.

Successivamente imparerà a estrarre file e credenziali dalle catture.