Hálózati monitorozás: mit lát, amit a végpont nem

A végpontvédelem azt látja, ami a gépen történik. A hálózati monitorozás azt, ami a gépek között. A kettő nem helyettesíti egymást, és a támadás jelentős része csak az egyiken látszik.

Mit lát a hálózat, amit a végpont nem

A nem menedzselt eszközöket. Nyomtató, IP-kamera, épületautomatizálási vezérlő, egy beszállító behozott laptopja. Ezeken nincs ügynök, tehát a végpontvédelem számára nem léteznek.

A vezérlőcsatornát. A kimenő kapcsolat egy ismeretlen célra gyakran akkor is látszik a forgalomban, amikor a gépen minden csendes.

Az adatkiszivárgást. A szokatlanul nagy kimenő adatmennyiség hálózati szinten jól mérhető.

A laterális mozgást. A gépek közötti szokatlan kapcsolat: egy munkaállomás, ami hirtelen elkezd más munkaállomások adminisztratív portjaira csatlakozni.

Az OT-környezetet. Ipari eszközökre nem telepíthető ügynök, ott a hálózat az egyetlen láthatósági forrás. Erről az ICS/SCADA cikkünkben írtunk.

Hol kezdje, ha nincs dedikált eszköz

Nem kell azonnal NDR-terméket venni. A meglévő infrastruktúrából sok kinyerhető.

1. NetFlow a hálózati eszközökből. A legtöbb menedzselhető kapcsoló és útválasztó tud flow-adatot exportálni: ki kivel, mikor, mennyi. Nem tartalmazza a tartalmat, de a kapcsolati mintát igen, és a legtöbb detektáláshoz ez elég.

2. Tűzfal-naplók. Az engedélyezett és tiltott forgalom naplója már megvan, csak jellemzően nincs elemezve. A kimenő tiltások mintázata gyakran az első jel.

3. DNS-naplózás. Alulértékelt forrás. A vezérlőcsatorna szinte mindig névfeloldással kezdődik, és a szokatlan tartománynevek itt látszanak először.

4. Proxy-naplók. A kimenő webes forgalom, adatmennyiséggel. Az árnyék-IT felderítése is innen indul.

Ez a négy forrás jellemzően már létezik, csak nem gyűjti senki. A naplózásról szóló cikkünkben részletesen írtunk arról, mit érdemes belőle SIEM-be küldeni.

Amire figyeljen

• Új kapcsolat két korábban nem kommunikáló eszköz között
• Szokatlan időpont: a napi ütemben működő rendszerek hirtelen éjszakai aktivitása
• Nagy kimenő adatmennyiség szokatlan célra
• Sok sikertelen kapcsolódás rövid idő alatt: felderítés jele
• Ismeretlen eszköz megjelenése a hálózaton
• Titkosított forgalom szokatlan portokon vagy célokra

Ahol elakadnak a projektek

A titkosított forgalom. A forgalom túlnyomó része ma TLS, tehát a tartalom nem látszik. A metaadat (ki kivel, mennyi, milyen ütemben) viszont igen, és a detektálások jelentős része ezen alapul. A TLS-felbontás lehetőség, de adatvédelmi és teljesítmény-következményekkel jár.

A hely megválasztása. A hálózati forgalom nagy része nem megy át a peremen: a kelet-nyugati, gépek közötti forgalom belül marad. Ha csak a peremen figyel, a laterális mozgást nem látja.

Az adatmennyiség. A teljes forgalom rögzítése költséges és ritkán éri meg. A flow-adat és a szelektív rögzítés (csak a gyanús kapcsolatoknál) jobb arányt ad.

OT-környezetben

Itt a hálózati monitorozás nem kiegészítés, hanem az elsődleges eszköz. Az ipari forgalom rendkívül kiszámítható: ugyanazok az eszközök beszélnek ugyanazokkal, ugyanolyan ütemben. Emiatt az anomáliadetektálás sokkal jobban működik, mint IT-környezetben.

A módszer passzív: forgalomtükrözés SPAN portról vagy hálózati TAP-ról, egyetlen csomag küldése nélkül.

Az IT biztonsági szolgáltatásaink és az OT szolgáltatásaink is kiterjednek a hálózati láthatóság kialakítására.