Выявление аномалий

Обнаружение аномалий означает выявление трафика, отклоняющегося от базовой линии сети. Невозможно распознать отклонение, пока вы не знаете норму.

В этом уроке рассматриваются распространённые признаки вредоносной активности.

Сканирование портов выглядит как обращение одного источника ко множеству портов узла, часто с SYN-пакетами, на которые приходят ответы RST.

Всплеск SYN-запросов к последовательным портам с одного IP — классическая сигнатура.

Вредоносные программы часто периодически связываются с сервером управления и контроля. Признак такой активности — соединения одинакового размера с одним и тем же назначением через равные промежутки времени.

Ищите механически точную периодичность, не свойственную обычному просмотру веб-страниц.

Туннелирование через DNS скрывает данные внутри DNS-запросов. Его признак — множество длинных поддоменов, похожих на случайный набор символов, в одном домене.

Большой объём запросов к одному домену с закодированными метками выглядит подозрительно.

Следите за протоколами на неподходящих портах: например, SSH на 443 или необработанным TCP там, где ожидается HTTPS.

Атакующие скрывают трафик на распространённых портах, чтобы обойти брандмауэры. Определение протоколов в Wireshark помогает заметить несоответствие.

Внезапная отправка рабочей станцией гигабайтов данных во внешний мир может указывать на утечку данных.

Используйте раздел «Разговоры» меню «Статистика» и отсортируйте записи по числу байтов, чтобы найти узлы, отправляющие необычные объёмы данных на внешние IP-адреса.

В HTTP необычные или пустые строки агента пользователя могут указывать на автоматизированные инструменты или вредоносные программы, которые не стали себя маскировать.

Отфильтруйте необычные значения, чтобы обнаружить клиентов, работающих по сценарию.

Множество пакетов RST или повторяющиеся SYN без завершения соединения могут указывать на сканирование, перебор паролей или попытку отказа в обслуживании.

Всплеск числа полуоткрытых соединений заслуживает расследования.

В локальных сетях следите за аномалиями ARP: два IP-адреса заявляют один и тот же MAC или ответы ARP приходят слишком быстро. Это может указывать на атаку посредника или подмену ARP.

Wireshark автоматически отмечает ARP с дублирующимися адресами.

Один необычный пакет редко доказывает атаку. Повышайте уверенность, сопоставляя несколько индикаторов во времени и на разных узлах.

Один маяковый сигнал в сочетании с заведомо вредоносным доменом и большой передачей данных — веское подтверждение; любой отдельный признак слаб.

Помимо Wireshark, такие инструменты, как Zeek и Suricata, превращают необработанные пакеты в структурированные журналы и оповещения в больших масштабах.

Они автоматизируют значительную часть обнаружения аномалий, которое иначе пришлось бы выполнять вручную.

Вы научились обнаруживать аномалии в трафике.

• Сканирование портов: один источник, множество портов.
• Маячковая активность: регулярные соединения с сервером управления и контроля.
• Туннелирование через DNS: длинные случайные поддомены.
• Следите за протоколами на неподходящих портах, большими исходящими передачами, шквалами RST и подменой ARP.
• Сопоставляйте несколько индикаторов, а для работы в больших масштабах используйте Zeek и Suricata.

Далее вы научитесь извлекать файлы и учётные данные из захватов.