Verkkoliikenteen analyysi sotilasverkoille: perustason määritys, poikkeamien havaitseminen ja sivuttaisliike

Vastustaja, joka on saanut alkupääsyn sotilasverkkoon, ei ilmoita läsnäolostaan kovaäänisellä, allekirjoituksilla tunnistettavalla haittaohjelmalla. He liikkuvat hitaasti käyttäen jo olemassa olevia protokollia, jo voimassaolevia tunnistetietoja ja jo olemassa olevia viestintäreittejä. Verkkoliikenteen analyysi (NTA) on menetelmä, jolla tämä liike tehdään näkyväksi: ymmärtämällä, miltä normaali liikenne näyttää tietyssä salatussa verkossa ja rakentamalla tunnistuslogiikka tästä normista poikkeamien ympärille, NTA-työkalut nostavat esiin käyttäytymisperustaisia indikaattoreita, jotka allekirjoituspohjaiset tunkeutumisen havaitsemisjärjestelmät jättävät huomaamatta. Tässä artikkelissa käsitellään teknisiä menetelmiä perustason määrittämiseksi, protokollapoikkeamien havaitsemiseksi, sivuttaisliikkeen tunnistamiseksi ja NTA-tulosteen integroimiseksi SIEM-järjestelmään siten, että tuloksena ovat toimintakelpoiset hälytykset eikä pelkkä kohina.

Miksi sotilasverkkoliikenne asettaa ainutlaatuisia analyysihaasteita

Sotilasverkot eroavat yritysympäristöistä tavoilla, jotka suoraan vaikuttavat siihen, miten NTA-työkalut on konfiguroitava ja viritettävä. Merkittävin rakenteellinen ero on luokittelurajapohjainen segmentointi: liikenne eri luokitustasojen suojausalueiden välillä on tiukasti politiikan rajoittamaa, ja jokainen virta, joka ylittää rajan ilman nimenomaista lupaa, on välitön korkean luottamustason poikkeama. Tämä ennustettavuus on analyyttinen etu, jota yritysverkoille suunnitellut NTA-työkalut eivät osaa hyödyntää. Kaupalliselle verkolle suunniteltu työkalu, jossa jokainen käyttäjä voi tavoittaa minkä tahansa SaaS-päätepisteen, tuottaa huomattavasti enemmän perustason vaihtelua kuin suojausalueelle käyttöön otettu työkalu, jossa 90 % laillisesta liikenteestä kulkee pienen joukon sovelluspalvelimia ja asiakastyöasemia välillä määritellyissä porteissa.

Sotilasverkkojen protokollapopulaatio lisää toisen monimutkaisuustason. Vanhennetut komento- ja johtamissovellukset, STANAG-viestintäjärjestelmät, turvalliset ääniyhdyskäytävät ja erikoistuneet anturi-integraatioohjelmistot rinnakkaiselävät tavallisten Windows-toimialueen protokollien kanssa. NTA-anturi, joka dekoodaa vain tavallisia yritysprotokollia, luokittelee merkittävän osan sotilassovelluksen liikenteestä tuntemattomiksi UDP- tai TCP-virroiksi, heikentäen kykyään havaita poikkeamia näissä protokollaperheissä. Tehokas NTA-käyttöönotto sotilasverkoissa vaatii joko mukautettuja protokolladekoodereita tai tiivistä yhteistyötä sovellusten omistajien kanssa kartoittaakseen mitkä portit ja virtausominaisuudet vastaavat laillista sovellusten käyttäytymistä.

Operatiivisen tempon vaihtelu luo perustason määrityshaasteita, joihin staattiset kynnysarvoperusteiset järjestelmät eivät pysty vastaamaan. Harjoitus kyllästää verkon simulaatioliikenteellä. Joukkojen rotaatio muuttaa tilapäisesti käyttäjäpopulaatiota ja sovellusten käyttöä. NTA-järjestelmä, joka lukitsee perustasonsa hiljaisena garnisonijaksona, tuottaa liiaksi vääriä positiivisia korkean tempon operaatioiden aikana, ellei se pysty mukauttamaan tilastollista malliaan nykyiseen operatiiviseen kontekstiin. Jatkuvasti päivittyvät suoratoistavat perustasotmallit, joissa on konfiguroitavat hitausparametrit, soveltuvat paremmin sotilaallisiin ympäristöihin kuin kiinteän viitejakson menetelmät.

Liikenteen perustason määritys: mitä normaali näyttää salatussa verkossa

Liikenteen perustaso ei ole yksittäinen luku. Se on moniulotteinen tilastomalli, joka kuvaa protokollien, virtausmäärien, yhteyksien muodostamistahdin, tavumäärien per istunto sekä viestintäparien suhteiden tyypillisen jakauman verkossa eri vuorokaudenaikoina, viikonpäivinä ja operatiivisissa vaiheissa. Merkityksellisen perustason rakentaminen edellyttää virtaustelemetrian tai täydellisten pakettien jatkuvaa keräystä riittävän pitkältä jaksolta kaiken laillisen verkkoaktiivisuuden vaihtelun kattamiseksi -- tyypillisesti neljästä kahdeksaan viikkoa sotilaallisella suojausalueella. Tänä aikana NTA-järjestelmä rakentaa isäntäkohtaisia, suojausaluekohtaisia ja protokollakohtaisia profiileja, jotka muodostavat referenssijakauman, jota vasten tulevia havaintoja verrataan.

Analyyttisesti hyödyllisin dimensio sotilasverkon perustasossa on viestintägraafi: mitkä isännät viestivät minkäkin muiden isäntien kanssa, mitä protokollia käyttäen, millä keskimääräisillä tavumäärillä ja yhteyksien muodostamistahdeilla. Hyvin segmentoidulla sotilaallisella suojausalueella viestintägraafi on harva. Useimmat työasemat viestivät pienen joukon infrastruktuuripalvelujen kanssa (toimialueohjaimet, DNS-ratkaisijat, sovelluspalvelimet, tiedostopalvelimet) ja harvoin keskenään. Uusi kaari tässä graafissa -- työasema, joka ei ole koskaan viestinyt tietyn palvelimen kanssa ja avaa äkillisesti yhteyden siihen -- on tilastollisesti merkittävä tavalla, joka ei päde tasaisessa yritysverkossa, jossa lateraalinen viestintä on rutiinia. NTA-työkalut, jotka mallintavat viestintägraafin eksplisiittisesti pelkkien volyymikynnysten sijaan, tarjoavat huomattavasti paremman sivuttaisliikkeen havaitsemisherkkyyden salatuilla suojausalueilla.

Perustason laatu riippuu ratkaisevasti haavakattavuuden täydellisyydestä keräysjakson aikana. Ainoastaan reunaliikenteestä rakennettu perustaso on sokea itä-länsi-virroille, jotka eivät koskaan ylitä reunaanturia. Kuormituksen alla paketteja pudottavasta SPAN-portista rakennettu perustaso aliarvioi suurivolyymisia protokollia, jolloin tilastomalli tulkitsee normaalit operaatiot poikkeavan korkeana protokollatasona. Ennen perustasojakson aloittamista varmista haavakattavuus verkkotopologiakaavion avulla ja vahvista, että anturi vastaanottaa häviötöntä liikennettä odotetulla volyymilla. Perustasojakson jälkeen havaitut puutteet edellyttävät perustason uudelleenmääritystä kyseisestä haavapisteestä sen sijaan, että mallia korjattaisiin estimaateilla.

Protokolla-analyysi: luvattomien tai poikkeavien protokollien käytön havaitseminen

Protokollatasolla toimiva poikkeamien havaitseminen toimii yksinkertaisemmalla logiikalla kuin käyttäytymisperustainen perustasomäärittely: jos protokollan ei pitäisi olla olemassa tietyllä verkkosegmentillä, jokainen sen ilmentymä on hälytys. Haasteena on määrittää sallittujen protokollien matriisi riittävällä granulariteetilla, jotta se on operatiivisesti merkityksellinen. Sääntö, joka estää kaikki ei-Windows-toimialueen protokollat työasemien VLAN-verkossa, havaitsee SSH:n, Telnetin ja IRC:n, joita käytetään salakanalina, mutta hälyttää myös jokaisen laillisen sovelluksen, joka käyttää epästandardeja portteja, ellei näitä sovelluksia listata ja niiden virtauksia sallita portilla ja kohde-IP:llä. Sallittujen protokollien matriisi on elävä asiakirja, jota on ylläpidettävä sovellusten muuttuessa, ja NTA-työkalut, jotka voivat automaattisesti havaita uuden protokollan ilmaantumisen segmentillä ja ehdottaa sallittuluettelon päivitystä, vähentävät matriisin ajantasaisena pitämisen hallinnollista taakkaa.

Protokollatunnelointi -- yhden protokollan kapsulointi toiseen tarkastuksen ohittamiseksi -- on pysyvä tekniikka sotilasverkoissa juuri siksi, että ulkoinen protokolla on usein sallittu. DNS-tunnelointi koodaa mielivaltaista dataa DNS-kyselyjen ja -vastausten tietueisiin hyödyntäen sitä, että DNS-liikennettä harvoin estetään sotilasverkkojen reunoilla. HTTP/HTTPS-tunnelointi kuljettaa ei-HTTP-kontrollitiikennettä HTTP-istuntojen sisällä poistuakseen web-proxien kautta. ICMP-tunnelointi koodaa dataa ICMP-kaikupakettien hyötykuormakentässä. NTA-tunnelointihavaitseminen nojaa protokollan käyttäytymiseen eikä porttiperusteisiin sääntöihin: DNS-virta, jossa on epätavallisen pitkiä kyselynimistöjä, korkea yksittäisen isännän kyselytahti ja suuria TXT- tai AAAA-tietueita sisältäviä vastauksia, on tunnusmerkillinen DNS-tunneloinnille riippumatta siitä, käyttääkö se porttia 53. Työkalut, jotka suorittavat syvää pakettien tarkastusta sallituille protokollille varmistaakseen, että liikenne noudattaa odotettua protokollakielioppeja, ovat huomattavasti tehokkaampia kuin porttinumeroihin protokollatunnistuksessa luottavat työkalut.

Salakanalin havaitseminen ulottuu tunnettujen tunnelointitekniikoiden lisäksi protokollakenttien entropian ja ajoitusmallien tilastolliseen analyysiin. Salakavali kanava, joka koodaa dataa TCP-sekvenssien matalavirtaisiin bitteihin tai IP-otsikoiden täydennyskenttiin, ei tuota epätavallisia protokollakielioppirikkomuksia, mutta tuottaa tilastollisia poikkeamia: sekvenssien jakaumat, jotka eivät ole satunnaisia, täydennyskenttien arvot, jotka korreloivat yhteyksien välillä, tai pakettien välinen ajoitus, joka vastaa tunnettua koodausjärjestelmää. Nämä havaitsemiset vaativat erikoisrakennettuja tilastollisia analysointimoduuleita yleisten poikkeamien havaitsemisen sijaan, ja ne ovat käytännöllisimpiä sovellettaessa korkean arvon verkkosegmenteille koko verkon kattavuuden sijaan.

Sivuttaisliikkeen havaitseminen: SMB-, WMI- ja Kerberos-väärinkäytön indikaattorit

Sivuttaisliike Windows-pohjaisissa sotilasverkoissa seuraa ennustettavia protokollapolkuja, koska Windows-ekosysteemi tarjoaa rajallisen joukon sisäänrakennettuja etäsuoritusmekanismeja. SMB (Server Message Block, portti 445) on eniten väärinkäytetty, koska se tukee tiedostonjaon lisäksi nimettyjen putkien viestintää, jota DCOM käyttää, palvelujen luontia Service Control Managerin kautta ja ajoitettujen tehtävien manipulointia -- kaikki nämä mahdollistavat koodin suorittamisen etäisäntäkoneella käyttäen vain voimassa olevia tunnistetietoja ja verkkoyhteyden. NTA-tason SMB-havaitseminen keskittyy viestintägraafiin: vertaisverkon SMB-yhteydet työasemien välillä, joilla ei ole tällaisen viestinnän perustasotietoja, yhteydet hallinnollisiin jakoihin (C$, ADMIN$) isänniltä, jotka eivät normaalisti käytä näitä jakoja, ja SMB-releetusmallit, joissa isäntä vastaanottaa saapuvan SMB-yhteyden ja käynnistää välittömästi lähtevän SMB:n kolmanteen isäntäkoneeseen -- tunnusmerkillinen NTLM-releetyshyökkäyksille.

WMI-sivuttaisliike on vaikeampi havaita pelkästään verkkoliikenteestä, koska alkuperäistä DCOM-yhteyttä portissa 135 seuraa dynaamisesti neuvoteltu korkea portti, joka kuljettaa varsinaista WMI-hyötykuormaa. NTA-työkalujen on korreloitava portti 135 -yhteys ja myöhempi dynaamisen portin yhteys samalta lähteeltä tunnistaakseen täydellisen WMI-istunnon ja luokitellakseen sen etä-WMI-suoritustapahtumaksi. Keskeinen käyttäytymisperustaiseindikaattori on ajoitus: laillinen WMI-toiminta hallintaalustoista tapahtuu ennustettavilla aikatauluilla vakaille lähde-kohdepareille. Spontaanit WMI-yhteydet työasemilta palvelimille epäsäännöllisinä aikoina tai WMI-yhteydet isänniltä, joilla ei ole perustasotietoja WMI-istuntojen käynnistämisestä, ovat korkean luottamustason sivuttaisliikkeen indikaattoreita, jotka NTA-työkalujen tulisi nostaa esiin ilman hyötykuorman täydellistä salauksen purkua.

Kerberos-väärinkäytön indikaattorit ovat näkyvissä todennusliikenteessä vaikka varsinainen sivuttaisliikkeen hyötykuorma on salattu. Kerberoasting -- tekniikka, jossa pyydetään palvelulippuja kaikille lueteltavissa oleville SPN-nimille verkkopurkkauksen mahdollistamiseksi -- tuottaa purskeen TGS-REQ-viestejä yksittäiseltä työasemalta pyytäen lippuja suurelle määrälle SPN-nimiä lyhyessä aikaikkunassa. Tämä malli on tilastollisesti erotettavissa laillisesta Kerberos-toiminnasta, jossa työasema pyytää lippuja nimenomaan tarvitsemilleen palveluille. Pass-the-ticket- ja overpass-the-hash-hyökkäykset tuottavat Kerberos AS-REQ -viestejä, jotka käyttävät epätavallisia salaustyyppiä tai ovat peräisin isänniltä, joilla ei ole perustasotietoja kohdepalveluun todentautumisesta. Kerberos-pyyntömäärien ja SPN-pyyntömoninaisuuden perustasomäärittely isäntäkohtaisesti tarjoaa referenssijakauman, jota vasten nämä hyökkäysmallit tulevat tilastollisesti näkyviksi.

Salatun liikenteen analyysi: indikaattorien poimiminen ilman salauksen purkua

Sotilasverkon liikenteen salattu osuus on kasvanut merkittävästi, kun TLS 1.3:sta on tullut standardi sovelluskerroksen protokollille ja vanhat selkotekstiprotokollat korvataan salatuilla vaihtoehdoilla. Tämä luo havaitsemisaukon NTA-työkaluille, jotka nojautuvat hyötykuorman tarkastukseen: salatun istunnon sisältö on saavuttamattomissa ilman salauksen purkukapasiteettia. Salatun liikenteen analyysi (ETA) käsittelee tätä aukkoa poimimalla metatietopiirteitä TLS-kättelystä ja istunnon käyttäytymisominaisuuksista, jotka pysyvät näkyvissä vaikka hyötykuorma on salattu. TLS-asiakasohjelman hello-viesti, lähetetty selkotekstinä ennen salausavainten muodostamista, sisältää TLS-version, salausalgoritmiluettelon, tuetut laajennukset sekä -- ennen TLS 1.3:n salattua SNI:tä -- palvelimen nimiindikaation. JA3-sormenjälkien muodostaminen pelkistää tämän kättelyidatan kompaktiksi tiivisteeksi, joka kuvaa TLS-asiakastoteutuksen, mahdollistaen tiettyjen haittaohjelmaperheitten tai C2-kehysten tunnistamisen niiden tyypillisen TLS-neuvottelukäyttäytymisen perusteella ilman salatun hyötykuorman tarkastusta.

Kättelyn lisäksi salattujen istuntojen käyttäytymispiirteet kantavat luokittelutietoa. Pakettipituuksien jakaumat eroavat interaktiivisten ihmisistuntojen (vaihteleva, purskeinen) ja automatisoitua majakkaliikennettä tuottavien (säännölliset välit, johdonmukaiset pakettikoot) välillä. Salattujen pakettien saapumisvälit paljastavat taustalla olevan viestintämallin: Cobalt Strike -majakka, jolla on 60 sekunnin lepotila, tuottaa tunnistettavan saapumisjakaumavaihtelun TLS:n läpi. Istuntojen tavumäärät ja virtojen kestot erottavat massiiviset tiedonsiirrot kontrollikanalin keepaliveista. NTA-työkalut, jotka yhdistävät JA3-sormenjäljet virtauksen käyttäytymispiirteisiin, voivat luokitella salattuja istuntoja hyötykuormapohjaiseen luokitteluun verrattavalla tarkkuudella tunnetuille haittaohjelmaperheille ja havaita myös tuntemattomia uhkia, joiden käyttäytymissormenjälki poikkeaa mistä tahansa perustasosta.

ETA:n käytännöllinen rajoitus sotilasverkoissa on laillisen salatun liikenteen monimuotoisuus. Salatussa suojausalueessa voi toimia kymmeniä sovelluksia, joista kullakin on erilliset TLS-toteutusominaisuudet, tuottaen monimutkaisen laillisten JA3-sormenjälkien ja istuntokäyttäytymisprofiilien perustason. Tarkkojen laillisten TLS-sormenjälkien sallittuluettelon ylläpitäminen edellyttää aktiivista hallintaa sovellusten päivittäessä TLS-kirjastojaan. Operatiivisesti käytännöllisin lähestymistapa on JA3-sormenjälkijakauman perustasomäärittely suojausalueittain ja kohde-IP-alueittain hälyttäen ensimmäistä kertaa ilmestyvistä sormenjäljistä sen sijaan, että ylläpidettäisiin manuaalisesti koottua sallittualuetteloa. Uudet sormenjäljet tarkistetaan tunnetun referenssitietokannan avulla ja luokitellaan laillisiksi, epäilyttäviksi tai haitallisiksi niiden alkuperän perusteella.

Hälytysten korrelaatio SIEM:n kanssa: kohinan vähentäminen havaitsemislaadun säilyttäen

Yleisin NTA-käyttöönoton epäonnistumistapa sotilaallisissa ympäristöissä ei ole riittämätön havaitsemisherkkyys -- se on hälytystulva. Vilkasta salattua verkkoa valvova NTA-anturi voi tuottaa tuhansia heikosti luottamustason anomaliahälytyksiä päivässä, joista suurin osa on vääriä positiivisia laillisesta liikenteestä, joka poikkeaa marginaalisesti perustasosta. Kun nämä hälytykset virtaavat SIEM-järjestelmään ilman korrelaatiologiikkaa, analysaattorit kohtaavat triaajoitusrasitteen, joka ylittää käytettävissä olevan henkilöstökapasiteetin, ja korkean luottamustason hälytykset, jotka edustavat todellisia uhkia, hukkuvat kohinaan. Ratkaisu ei ole nostaa havaitsemiskynnyksiä -- mikä vähentää herkkyyttä ja sallii todellisten hyökkäysten jäädä havaitsematta -- vaan rakentaa SIEM:n korrelaatiologiikka, joka nostaa yksittäiset heikkojen luottamustasojen NTA-hälytykset korkean luottamustason tapauksiksi vain silloin, kun ne saatujen muista lähteistä kerättyjen riippumattomien todisteiden tukemana.

Tehokkaimmat korrelaatiomallit yhdistävät NTA-anomaliahälytykset todennustelemetriaan, päätepisteentunnistustietoihin ja DNS-lokeihin. Yksittäinen NTA-hälytys poikkeavasta SMB-toiminnasta on yksinään heikossa luottamustasossa -- se saattaa olla virheellisesti konfiguroitu sovellus tai kertaluonteinen hallintotoimenpide. Sama NTA-hälytys korreloituna saman lähde-isännän Kerberos-todennusvirheeseen viiden minuutin sisällä ja Windows-tapahtumatunnus 4624 -kirjautumistapahtumaan kohdeisännällä, jossa käytetään tiliä, joka ei normaalisti kirjaudu kyseiselle isännälle, luo kolmen lähteen todennetun tiedon, joka kantaa korkean luottamuksen sivuttaisliikkeen indikaattorina. SIEM-korrelaatiosäännöt, jotka määrittelevät nämä monilähteiset todistusketjut kriittisimmille hyökkäystekniikoille (sivuttaisliike, tunnistetietojen kaivaminen, datan esivalmistelu, komento ja johtaminen), vähentävät merkittävästi hälytysmäärää säilyttäen samalla havaitsemiskattavuuden korkeimman prioriteetin uhkien osalta.

Hälytysten vaimennus resurssikontekstin avulla vähentää kohinaa heikentämättä havaitsemista. NTA-hälytys skannauksen kaltaisesta yhteyskaavasta isännältä, joka on omaisuusluettelossa merkitty haavoittuvuusskanneriksi, vaimennetaan automaattisesti. Hälytys epätavallisesta lähtevästä liikenteestä isännältä, joka on merkitty datadiodiksiksi, nostetaan välittömästi, koska datadiodit eivät koskaan saisi käynnistää lähteviä yhteyksiä. NTA-anturin hälytyspipelineen integrointi ylläpidettävän omaisuusluettelon kanssa -- jopa yksinkertainen tiedosto, joka kartoittaa IP-osoitteet isäntärooleille -- mahdollistaa merkittävän osan heikkojen luottamustasojen hälytyksistä automaattisen sulkemisen tai nostamisen sen perusteella, onko havaittu käyttäytyminen uskottavaa kyseiselle isäntätyypille. Sotilasverkoissa, joissa isäntäroolit ovat suhteellisen vakaita verrattuna dynaamisiin yritysympäristöihin, omaisuuskontekstipohjainen vaimennus voi vähentää väärien positiivisten määrää 40--60 % ilman muuta konfigurointitaakkaa kuin omaisuusluettelon ylläpito.

Käyttöönotorakenne: haavapisteiden sijoitus, SPAN-portit ja anturien skaalautuvuus

Tehokas NTA-kattavuus edellyttää liikenteen saapumista anturille häviöttömästi. Kaksi ensisijaista menetelmää liikenteen toimittamiseksi NTA-anturille ovat passiiviset optiset haavat ja SPAN-portit. Passiiviset optiset haavat jakavat optisen signaalin kuitulinkillä ja toimittavat kopion anturille aiheuttamatta viivettä tai luomatta verkon havaittavaa haavapistettä. Ne ovat suositeltava menetelmä korkean arvon linkeille, koska niitä ei voida poistaa käytöstä kytkinkonfiguraatiomuutoksilla eivätkä ne vaikuta linkin suorituskykyyn millään liikennemäärällä. SPAN-portit, konfiguroituna hallitussa kytkimessä, kopioivat liikennettä yhdestä tai useammasta lähdeportista tai VLAN-verkosta nimettyyn valvontaport. SPAN-portit ovat joustavampia ja edullisempia kuin fyysiset haavat, mutta niihin liittyy tärkeitä rajoituksia: monet kytkinalustat pudottavat paketteja SPAN-portissa kuormitushuippujen aikana, ja SPAN-konfigurointi on näkyvissä kytkinasetuksissa ja voidaan tahattomasti muuttaa rutiinisten verkkoon tehtävien muutosten yhteydessä.

Anturien skaalautuvuus suurikapasiteettisilla sotilasrunkoverkoilla edellyttää pakettivälittimen laitteistoa haavan ja anturin välille. 10 Gbps:n suojausalueiden välinen linkki voi kuljettaa 2--5 Gbps:n todellista liikennettä huippukuormituksessa -- hyvin yksittäisen NTA-anturin käsittelykapasiteetin rajoissa -- mutta 100 Gbps:n runkoverkkoyhteys vaatii joko hajautettuja antureita tai pakettivälittimen, joka suodattaa, kuormanjakaa ja poistaa kaksoiskappaleet liikenteestä ennen anturitasolle välittämistä. Pakettivälittimet mahdollistavat myös haavakoosteisen: yksittäinen anturi voi vastaanottaa liikennettä useista haavoista välittimen kautta, joka yhdistää syötteet ja soveltaa suodatussääntöjä vähentääkseen anturin käsittelemää volyymia. Salatuille suojausalueille, joissa fyysisen laitteiston on täytettävä tiukat turvallisuusvaatimukset, tarkoitukseen rakennettuja pakettivälittimiä, jotka on validoitu asianmukaiselle luokitustasolle, on saatavilla pieneltä joukolta erikoistuneita toimittajia.

Anturien sijoittelustrategiassa on otettava huomioon sekä kattavuusvaatimukset että verkon segmentointirakenne. Sotilassuojausalueen vähimmäisvaatimusta täyttävä haavajoukko kattaa reunan (suojausalueelle saapuva ja sieltä lähtevä liikenne), VLAN-väliset reitityspisteen (itä-länsi-liikenne suojausalueen segmenttien välillä) sekä todennusinfrastruktuurin ja kriittisten sovelluspalvelimien isännöimän palvelinsegmentin. Tämä kolmipisteinen rakenne tarjoaa kattavuuden kaikille ulkoisille uhille ja merkittävimmille sisäisille sivuttaisliikereiteille anturimäärällä, joka on operatiivisesti hallittavissa. Jokaisen käyttökytkimen segmentin täydellinen kattavuus vaatii huomattavasti enemmän antureita ja kaistanleveyttä, mutta tarjoaa näkyvyyden segmentin sisäiseen sivuttaisliikkeeseen, jonka kolmipisteinen rakenne jättää havaitsematta. Riskiperustainen päätös kattavuuden syvyydestä on punnittava suojausalueen segmentin sisäisten hyökkäysten todennäköisyyden ja lisäanturi-infrastruktuurin operatiivisten kustannusten sekä hälytysmäärän välillä, ottaen huomioon organisaatiokohtaiset sisäiset uhkien riskiarvioinnit.