Dữ liệu thống kê trong giám sát bảo mật mạng
Kỹ thuật khoa học dữ liệu cho phép mạng máy tính động phát hiện xâm nhập và hành vi bất thường, ngăn chặn tấn công qua vũ khí mạng.
2 phương pháp giám sát dùng phân tích nâng cao
- NBA (Network Behavior Analysis): Phân tích hành vi mạng
- NBAD (Network Behavior Anomaly Detection): Phát hiện bất thường hành vi mạng
Cả hai dùng kỹ thuật phân tích dữ liệu telemetry NetFlow và IPFIX.
Đặc điểm vận hành của NetFlow
NetFlow không bắt gói tin dữ liệu (payload) mà thu thập metadata về luồng dữ liệu (flow metadata).
Windows Log liên quan
Security Log ghi lại sự kiện bảo mật: cố gắng đăng nhập, truy cập tệp/đối tượng.
Giám sát bảo mật mạng (NSM) là gì?
Thu thập, phân tích, leo thang chỉ báo/cảnh báo về khả năng xâm nhập mạng để phát hiện và chuẩn bị ứng phó. Tính năng: truy vấn dữ liệu bảo mật, săn tìm hành vi đáng ngờ (threat hunting).
Sử dụng dữ liệu thống kê trong NSM
- Thu thập trong quá trình giám sát
- Cho phép các host mạng giao tiếp
- Thể hiện phân bố hoạt động mạng giữa các mạng
- Phân tích cấu thành dữ liệu các loại mạng khác
NAT/PAT làm phức tạp NSM khi dùng NetFlow
- Thay đổi địa chỉ MAC nguồn/đích
- Mã hóa payload gói tin (giấu nội dung)
- Thao túng cổng (port) để ngụy trang ứng dụng
Cisco NetFlow cung cấp gì?
- Kế toán lưu lượng mạng (Network Traffic Accounting)
- Thanh toán dựa trên sử dụng (Usage-based Billing)
- Lập kế hoạch mạng (Network Planning)
- Bảo mật & Giám sát DoS
Windows Event Log Types
- Information: Ứng dụng/driver/service chạy thành công
- Security: Sự kiện bảo mật (đăng nhập, truy cập)
Công cụ ELSA (Enterprise Log Search and Archive)
- Tìm kiếm/archiving dữ liệu NSM từ nhiều nguồn
- Multi-user, enterprise-level
- Sphinx Search để index log
- Syslog-NG nhận log → MySQL lưu trữ → Sphinx index
- Tích hợp Sguil: pivot từ Sguil sang ELSA để tìm kiếm
Phân loại cảnh báo (Alert Classification)
True Positive: IDS/IPS signature kích hoạt đúng, cảnh báo khi phát hiện traffic tấn công thực sự.
Giao thức Email giữa domain khác nhau
SMTP (Simple Mail Transfer Protocol) - gửi thư giữa mail server hoặc từ client đến server.
IPv6 Extension Headers
Thông tin lớp mạng tùy chọn được mang trong Extension Headers - header riêng biệt giữa IPv6 header chính và payload.