Wykrywanie anomalii

Wykrywanie anomalii polega na zauważaniu ruchu odbiegającego od punktu odniesienia danej sieci. Nie można rozpoznać tego, co nietypowe, bez poznania tego, co normalne.

W tej lekcji omówiono typowe wzorce zdradzające złośliwą aktywność.

Skanowanie portów przejawia się tym, że jedno źródło kontaktuje się z wieloma portami hosta, często wysyłając pakiety SYN, na które otrzymuje odpowiedzi RST.

Seria pakietów SYN kierowanych do kolejnych portów z jednego adresu IP to klasyczny sygnał.

Złośliwe oprogramowanie często wysyła sygnały typu beacon: w regularnych odstępach kontaktuje się z serwerem command-and-control. Wskazówką są okresowe połączenia o podobnym rozmiarze z tym samym miejscem docelowym.

Warto szukać regularności przypominającej mechanizm zegarowy, której nie obserwuje się podczas zwykłego przeglądania Internetu.

Tunelowanie DNS przemyca dane wewnątrz zapytań DNS. Jego oznaką jest wiele długich, losowo wyglądających subdomen w obrębie jednej domeny.

Duża liczba zapytań do jednej domeny z zakodowanymi etykietami jest podejrzana.

Należy zwracać uwagę na protokoły używane na niewłaściwych portach, takie jak SSH na porcie 443 lub surowy TCP tam, gdzie oczekiwany jest HTTPS.

Atakujący ukrywają ruch na popularnych portach, aby prześlizgnąć się przez zapory sieciowe. Wykrywanie protokołów przez Wireshark pomaga zauważyć tę rozbieżność.

Nagłe wysyłanie przez stację roboczą gigabajtów danych na zewnątrz może wskazywać na eksfiltrację danych.

Proszę użyć funkcji Statistics Conversations i posortować wyniki według liczby bajtów, aby znaleźć hosty wysyłające nietypowo duże ilości danych do zewnętrznych adresów IP.

W protokole HTTP nietypowe lub puste wartości User-Agent mogą wskazywać na automatyczne narzędzia albo złośliwe oprogramowanie, które nie próbuje się ukrywać.

Należy filtrować nietypowe wartości, aby ujawnić klientów działających za pomocą skryptów.

Wiele pakietów RST lub powtarzające się pakiety SYN bez ukończenia połączenia może wskazywać na skanowanie, atak siłowy albo próbę przeprowadzenia ataku typu denial of service.

Gwałtowny wzrost liczby połączeń częściowo otwartych wymaga zbadania.

W sieciach lokalnych należy zwracać uwagę na anomalia ARP: dwa adresy IP przypisujące sobie ten sam adres MAC albo szybkie odpowiedzi ARP. Sugeruje to atak man-in-the-middle lub ARP spoofing.

Wireshark automatycznie oznacza pakiety ARP z duplikatem adresu.

Pojedynczy nietypowy pakiet rzadko stanowi dowód ataku. Wiarygodność ustala się przez korelowanie wielu wskaźników w czasie i między hostami.

Jeden sygnał beacon, znana złośliwa domena oraz duży transfer tworzą mocną przesłankę, ale każdy z tych elementów rozpatrywany osobno jest słabym dowodem.

Oprócz Wireshark narzędzia takie jak Zeek i Suricata przekształcają surowe pakiety w uporządkowane dzienniki i alerty na dużą skalę.

Automatyzują znaczną część wykrywania anomalii, które w przeciwnym razie trzeba byłoby przeprowadzać ręcznie.

Dowiedział się Pan lub dowiedziała się Pani, jak wykrywać anomalie w ruchu sieciowym.

• Skanowanie portów: jedno źródło, wiele portów.
• Beaconing: regularne połączenia z serwerem C2 w określonych odstępach czasu.
• Tunelowanie DNS: długie, losowe subdomeny.
• Należy zwracać uwagę na protokoły używane na niewłaściwych portach, duże transfery wychodzące, lawiny pakietów RST i ARP spoofing.
• Należy korelować wiele wskaźników oraz używać Zeek i Suricata na dużą skalę.

W następnej części będzie Pan lub będzie Pani wyodrębniać pliki i dane uwierzytelniające z przechwyconych danych.