नेटवर्क सुरक्षा की सेवा में कृत्रिम बुद्धिमत्ता। भाग २

भाग 2. संदर्भ द्वारा भाग 1।

हमारे मामले में, उपयोगकर्ता और इकाई व्यवहार एनालिटिक्स उत्पाद वर्ग (संक्षेप में यूईबीए) से इंट्रोस्पेक्ट व्यवहार विश्लेषिकी प्रणाली, मौजूदा बुनियादी ढाँचे से एकत्र की गई मशीन जानकारी की एक एकल प्रविष्टि बिंदु है, जिसमें सीएमडी सिस्टम शामिल हैं, और मशीन विश्लेषिकी एल्गोरिदम और आधारित है बड़ी संख्या में घटनाओं का विश्लेषण करके नियमित काम को स्वचालित करने में सुरक्षा कर्मियों की मदद करने के लिए कृत्रिम बुद्धिमत्ता।

इसके अलावा, सिस्टम को मौजूदा इन्फ्रास्ट्रक्चर एक्सेस कंट्रोल (एनएसी) सिस्टम के साथ एकीकृत किया जा सकता है, जो नेटवर्क में असामान्य व्यवहार के स्रोतों के साथ विभिन्न क्रियाओं को करने के लिए - डिस्कनेक्ट, धीमा, दूसरे वीएलएएन में स्थानांतरित हो सकता है, आदि।



प्रारंभिक सूचना के रूप में इंट्रोस्पेक्ट सिस्टम को कौन सा डेटा प्राप्त करना चाहिए? सबसे अधिक विविध, नेटवर्क ट्रैफ़िक तक। इस प्रयोजन के लिए, सिस्टम में गलाने के लिए विशेष घटक हैं - पैकेट प्रोसेसर (पीपी)।

डीडब्ल्यूएम सिस्टम से डेटा प्राप्त करने का लाभ यह तथ्य हो सकता है कि वे पहले से ही इन प्रणालियों द्वारा पूर्व-पार्स किए गए हैं। Introspect SPLUNK, QRadar, ArcSight जैसे ऐसे ही सिएम सिस्टम के साथ काम करता है। अगली पंक्ति में लॉगररिथ (कच्चे सिसलॉग), इंटेल नाइट्रो का कार्यान्वयन है। इसके अलावा, सिस्टम डेटा का एक विशाल सरणी एकत्र करता है:

MS सक्रिय निर्देशिका (AD सुरक्षा लॉग, AD उपयोगकर्ता, समूह, समूह उपयोगकर्ता), MS LDAP लॉग,
डीएचसीपी लॉग
MS DHCP, Infoblox DHCP, dnsmasq DHCP
डीएनएस लॉग
MS DNS, Infoblox DNS, BIND
फ़ायरवॉल लॉग
सिस्को एएसए (syslog), फोर्टिनेट (SPLUNK के माध्यम से), पालो अल्टो (SPLUNK के माध्यम से), चेकपॉइंट (SPLUNK के माध्यम से), जुनिपर (SPLUNK के माध्यम से)।
प्रॉक्सी लॉग
Bluecoat, McAfee, ForcePoint
अलर्ट
FireEye
एमएस एटीए
वीपीएन लॉग
सिस्को Anyconnect / WebVPN
जुनिपर वीपीएन (SPLUNK के माध्यम से)
जुनिपर पल्स सुरक्षित (SPLUNK के माध्यम से)
Fortinet VPN (SPLUNK के माध्यम से)
चेकपॉइंट वीपीएन
पालो ऑल्टो वीपीएन
प्रवाह लॉग
नेटफ्लो वी 5, वी 7, वी 9
ईमेल लॉग
आयरनपोर्ट ईएसए
भाई लॉग करता है
कनेक्शन लॉग

प्रणाली का प्रतिस्पर्धात्मक लाभ लेनदेन स्तर पर काम करने की क्षमता है, अर्थात। नेटवर्क ट्रैफ़िक के साथ, जो लॉग संदेशों में प्राप्त सूचनाओं का अनुपालन करता है। यह सिस्टम को अतिरिक्त विश्लेषणात्मक क्षमताएं देता है - संगठन की परिधि के आसपास संवेदनशील डेटा को स्थानांतरित करने के प्रयासों के लिए डीएनएस प्रश्नों, सुरंग यातायात और कुशल खोज का विश्लेषण। इसके अलावा, सिस्टम पैकेट एन्ट्रापी एनालिटिक्स, HTTPS हेडर और फाइलों का विश्लेषण, साथ ही क्लाउड एप्लिकेशन के संचालन का विश्लेषण भी प्रदान करता है।

ऊपर उल्लिखित पैकेट प्रोसेसर (PP) में एक आभासी और हार्डवेयर कार्यान्वयन है, 5-6 Gbps तक की गति पर काम करता है और कच्चे डेटा की DPI करता है, संदर्भ संबंधी जानकारी या पैकेट मेटाडेटा निकालता है और इसे सिस्टम के किसी अन्य घटक पर स्थानांतरित करता है - विश्लेषक (विश्लेषक)।

यदि निर्णय न केवल लॉग का विश्लेषण करने के लिए किया जाता है, बल्कि स्पैन / टीएपी विधियों का उपयोग करके या पैकेट ब्रोकर या रिपीगर्स जैसे कि गिगामोन या आईएक्सआईए का उपयोग करके भी ट्रैफ़िक में पीपी सही जगह पर स्थित होना चाहिए। अधिकतम दक्षता के लिए, सभी नेटवर्क ट्रैफ़िक को कैप्चर करना आवश्यक है जो प्रत्येक उपयोगकर्ता वीएलएएन में इंटरनेट से / साथ ही ट्रैफ़िक के लिए / उपयोगकर्ताओं से सुरक्षित संसाधनों, या महत्वपूर्ण जानकारी वाले सर्वर पर जाता है।

सिस्टम का एक आवश्यक और प्रमुख घटक एनालाइजर है। यह लॉग, फ्लो, पैकेट मेटाडेटा, थर्ड-पार्टी सिस्टम से अलर्ट, इंटेलिजेंस फीड और अन्य स्रोतों से डेटा प्रोसेस करता है।

विश्लेषक एक एकल 2RU उपकरण या एक क्षैतिज रूप से स्केलेबल स्केल-आउट समाधान हो सकता है जिसमें कई 1RU उपकरण शामिल हैं, साथ ही साथ क्लाउड समाधान भी।

तार्किक संरचना

तार्किक रूप से, विश्लेषक एक क्षैतिज रूप से स्केलेबल हैडोप प्लेटफॉर्म है जिसमें कई प्रकार के नोड्स शामिल हैं - एज नोड्स, इंडेक्स और सर्च नोड्स, हडॉप डेटा नोड्स।
एज नोड्स एचडीएफएस रिसीवर के साथ फ्लुम चैनलों को डेटा और रिकॉर्ड प्राप्त करते हैं।

सूचकांक और खोज नोड तीन प्रकार के डेटाबेस से जानकारी निकालते हैं - Hbase, Parquet, ElasticSearch।
Hadoop डेटा नोड डेटा संग्रहण के लिए अभिप्रेत है।

तार्किक रूप से, सिस्टम का संचालन निम्नानुसार है - बैच मेटाडेटा, फ़्लो, लॉग, अलर्ट, खतरा फीडिंग पार्सिंग, कैशिंग, डिस्टिलेशन और सहसंबंध से गुजरता है। सिस्टम HDFS में तेजी से आने वाले उपयोगकर्ता डेटा को कैशिंग करते हुए, उपयोगकर्ता और उसके डेटा के बीच एक लिंक लागू करता है।

डेटा तब असतत विश्लेषण मॉड्यूल पर जाता है, जहां, किसी निश्चित घटना या क्षेत्र पर प्राप्त जानकारी के आधार पर, तथाकथित असतत अलार्म बहाया जाता है। उदाहरण के लिए, डीएनएस डीजीए एल्गोरिदम का संचालन या एक बंद खाते में प्रवेश करने का प्रयास स्पष्ट रूप से संभावित खतरनाक घटना का पता लगाने के लिए किसी भी प्रकार के मशीन विश्लेषण की आवश्यकता नहीं है। विश्लेषण व्यवहार मॉड्यूल केवल नेटवर्क पर संभावित घटनाओं को पढ़ने के लिए इस स्तर पर जुड़ा हुआ है।

अगला चरण उपरोक्त डेटाबेस में घटनाओं, अनुक्रमण और भंडारण का सहसंबंध है। संग्रहीत व्यवहार के आधार पर एनालिटिक्स व्यवहार तंत्र सक्षम है और किसी अन्य उपयोगकर्ता की तुलना में इस उपयोगकर्ता के व्यवहार के आधार पर या कुछ निश्चित समय के आधार पर काम कर सकता है। यह व्यवहार रूपरेखा तंत्र की तथाकथित आधारभूत संरचना है। व्यवहार प्रोफाइलिंग के मॉडल मशीन एनालिटिक्स एल्गोरिदम एसवीडी, आरबीएम, बेयसनेट, के-मीन्स, डिकिंग ट्री के आधार पर बनाए गए हैं।

उत्पाद विश्लेषण व्यवहार का एक विस्तृत मॉडल चित्र 1 में दिखाया गया है


चित्र 1

आरेख दिखाता है कि व्यवहार विश्लेषण तंत्र चार ब्लॉकों पर आधारित है:

• डेटा स्रोत;
• डेटा के साथ काम करने की शर्तें (एक्सेस समय, डाउनलोड या अनलोड डेटा की मात्रा, ई-मेल संदेशों की संख्या, स्रोत या सूचना के रिसीवर के बारे में जानकारी, वीपीएन कनेक्शन, आदि);
• उपयोगकर्ता व्यवहार की रूपरेखा के लिए तंत्र (कुछ समय के बाद व्यवहार का आकलन या किसी अन्य कर्मचारी के संबंध में, समय खिड़की जिसके दौरान विश्लेषण किया जाता है, प्रोफाइलिंग व्यवहार के लिए गणितीय मॉडल - एसवीडी, प्रतिबंधित बोल्ट्जमान मशीन (आरबीएम), बेयसनेट, के-साधन, निर्णय पेड़ और आदि);
• मशीन एनालिटिक्स के गणितीय मॉडल का उपयोग करके ट्रैफ़िक विसंगतियों का पता लगाना, जैसे कि महालनोबिस दूरी, ऊर्जा की दूरी और एक निश्चित प्राथमिकता और चरण के साथ सिस्टम में घटनाओं की पीढ़ी।

अरूका इंट्रोस्पेक्ट में CKC मॉडल के प्रत्येक चरण में लक्षित हमलों का पता लगाने के लिए डिज़ाइन किए गए 100 से अधिक पर्यवेक्षित और अनसेफर्ड मॉडल हैं। उदाहरण के लिए, एक इंट्रोस्पेक्ट उन्नत स्तर के कार्यान्वयन का पता लगाता है

• संदिग्ध नेटवर्क गतिविधि प्रकार: असामान्य एसेट एक्सेस, असामान्य डेटा उपयोग, असामान्य नेटवर्क एक्सेस, एडवेयर कम्युनिकेशन, बिटकॉइन माइनिंग के रूप में बिटकॉइन एप्लिकेशन, बोटनेट (टेस्लाक्रिप्ट, क्रिप्टोवेल), क्लाउड फ़ाइलेस्ट्रेशन, एचटीटीपी प्रोटोकॉल अनोमली (हेडर मिसपेलिंग्स, हैडर मिस्टरिंग), हैकर टूल। डाउनलोड, IOC हमला प्रकार (IOC-STIX Abuse-ch, IOC-STIX CybercrimeTracker, IOC-STIX EmergingThreatsRules और अन्य), नेटवर्क स्कैन, पी 2 पी एप्लिकेशन, रिमोट कमांड प्रॉबल्म, एसएसएल प्रोटोकॉल उल्लंघन, स्पाईवेयर कॉम, संदिग्ध डेटा उपयोग, संदिग्ध बाहरी उपयोग। , संदिग्ध फ़ाइल, संदिग्ध आउटबाउंड कॉम, वेबशेल, मैलवेयर संचार, कमान और नियंत्रण, पार्श्व आंदोलन, डेटा बहिष्कार, ब्राउज़र शोषण, बीकनिंग, एसएमबी निष्पादन, प्रोटोकॉल उल्लंघन, आंतरिक टोही और अन्य।
• असामान्य खाता गतिविधि, असामान्य संपत्ति प्रवेश, असामान्य लॉगऑन, विशेषाधिकार वृद्धि, संदिग्ध खाता गतिविधि, संदिग्ध उपयोगकर्ता लॉगऑन और अन्य जैसे खातों की संदिग्ध पहुंच
• वीपीएन के माध्यम से एक्सेस डेटा: असामान्य डेटा उपयोग, असामान्य लॉगऑन, असामान्य उपयोगकर्ता लॉगऑन,
• DNS डेटा विश्लेषण: विभिन्न DGA DNS एल्गोरिदम का उपयोग करते हुए बोटनेट
• ईमेल संदेश विश्लेषण: असामान्य आने वाली ईमेल, असामान्य आउटगोइंग ईमेल, संदिग्ध अनुलग्नक, संदिग्ध ईमेल

इसके अलावा, पहचान की गई विसंगतियों के आधार पर, घटना को लॉकहीड मार्टिन की साइबर किल चेन (CKC) परिभाषा के अनुसार सिस्टम को हैक करने के एक या दूसरे चरण से जुड़ा एक जोखिम मूल्यांकन सौंपा गया है। छिपी हुई मार्कोव मॉडल द्वारा जोखिम का आकलन प्रतियोगियों के विपरीत किया जाता है, जो अपनी गणना में जोखिम मूल्यांकन को रैखिक रूप से बढ़ाते या घटाते हैं।

जैसा कि हमले CKC मॉडल के अनुसार विकसित होता है, अर्थात्। संक्रमण के चरण, आंतरिक टोही, कमान और नियंत्रण, विशेषाधिकार वृद्धि, पार्श्व आंदोलन, बहिष्कार, जोखिम मूल्यांकन बढ़ जाता है। अंजीर देखें। 2


Fig.2

सिस्टम में एडेप्टिव लर्निंग के कार्य होते हैं, जब एनालिटिक्स मॉड्यूल के परिणामों को संशोधित या अनुकूलित किया जाता है, एक जोखिम स्कोरिंग मूल्यांकन में या जब सफेद सूची में रखा जाता है।

STIX, TAXII तंत्र का उपयोग करके बाहरी स्रोतों से खतरों या खतरा फ़ीड के बारे में जानकारी डाउनलोड की जा सकती है। अनोमली संसाधन भी समर्थित है। Introspect अलर्ट बनाने में झूठी सकारात्मकता को कम करने के लिए एलेक्सा से "श्वेतसूची" डोमेन नाम भी डाउनलोड कर सकता है।

प्रणाली के प्रतियोगी लाभ हैं:

• उपयोग किए गए इनपुट डेटा की विविधता,
• DPI फ़ंक्शन
• उपयोगकर्ता के साथ सुरक्षा घटनाओं का सहसंबंध, और अतिरिक्त सॉफ्टवेयर के बिना, आईपी एड्रेस नहीं।
• असीमित क्लस्टरिंग के साथ Hadoop / स्पार्क बिग डेटा सिस्टम का उपयोग करना
• सिस्टम के काम के विश्लेषणात्मक परिणाम, पूर्ण संदर्भ फोरेंसिक, धमकी शिकार का उपयोग करके घटनाओं की जांच करने की क्षमता,
• मौजूदा एनएसी क्लियरपास समाधान के साथ एकीकरण,
• समापन बिंदु पर एक एजेंट के बिना काम करते हैं,
• नेटवर्क इंफ्रास्ट्रक्चर निर्माता के प्रकार से व्यावहारिक स्वतंत्रता
• क्लाउड पर डेटा भेजने की आवश्यकता के बिना, ऑन-प्रिमाइसेस ऑपरेशन

सिस्टम में दो वितरण विकल्प हैं - मानक संस्करण और उन्नत संस्करण। मानक संस्करण अरूबा नेटवर्क उपकरण के लिए अनुकूलित है और AD, AMON प्रोटोकॉल, LDAP, फ़ायरवॉल, वीपीएन लॉग से लॉग जानकारी का इनपुट प्राप्त करता है।