Analiza ruchu sieciowego w sieciach wojskowych: profilowanie bazowe, wykrywanie anomalii i ruch boczny

Przeciwnik, który uzyskał wstępny dostęp do sieci wojskowej, nie ogłasza swojej obecności za pomocą głośnego, sygnaturowo wykrywalnego złośliwego oprogramowania. Porusza się powoli, używając protokołów, które już są obecne, poświadczeń, które już są ważne, i ścieżek komunikacyjnych, które już istnieją. Analiza ruchu sieciowego (NTA) to dziedzina polegająca na uwidocznieniu tego przemieszczania: rozumiejąc, jak wygląda normalny ruch w konkretnej sieci niejawnej i budując logikę wykrywania opartą na odchyleniach od tej normy, narzędzia NTA ujawniają behawioralne wskaźniki, które systemy wykrywania włamań oparte na sygnaturach pomijają. Ten artykuł omawia metody techniczne tworzenia profili bazowych, wykrywania anomalii protokołów, identyfikowania wzorców ruchu bocznego i integrowania wyników NTA z SIEM w sposób generujący użyteczne alerty zamiast szumu.

Dlaczego ruch w sieciach wojskowych stwarza unikalne wyzwania analityczne

Sieci wojskowe różnią się od środowisk korporacyjnych w sposób bezpośrednio wpływający na konfigurację i strojenie narzędzi NTA. Najistotniejszą różnicą strukturalną jest segmentacja na granicach klasyfikacji tajności: ruch między enkawami na różnych poziomach klasyfikacji jest ściśle ograniczony przez politykę, a każdy przepływ przekraczający granicę, który nie był jawnie dozwolony, stanowi natychmiastową anomalię o wysokiej pewności. Ta przewidywalność jest aktywem analitycznym, którego korporacyjne narzędzia NTA nie są zbudowane do wykorzystania. Narzędzie zaprojektowane dla sieci komercyjnej, gdzie każdy użytkownik może docierać do dowolnego punktu końcowego SaaS, generuje znacznie większą zmienność profilu bazowego niż to wdrożone w enklawie, gdzie 90% legalnego ruchu przepływa między niewielkim zestawem serwerów aplikacji a stacjami roboczymi klientów na określonych portach.

Populacja protokołów w sieciach wojskowych dodaje kolejną warstwę złożoności. Starsze aplikacje dowodzenia i kontroli, systemy komunikacji STANAG, bezpieczne bramki głosowe i specjalistyczne oprogramowanie pośredniczące do integracji czujników współistnieją ze standardowymi protokołami domeny Windows. Czujnik NTA, który dekoduje wyłącznie powszechne protokoły korporacyjne, sklasyfikuje znaczną część ruchu aplikacji wojskowych jako nieznane przepływy UDP lub TCP, degradując zdolność do wykrywania anomalii w obrębie tych rodzin protokołów. Skuteczne wdrożenie NTA w sieciach wojskowych wymaga niestandardowych dekoderów protokołów lub ścisłej integracji z właścicielami aplikacji w celu odwzorowania, które porty i charakterystyki przepływu odpowiadają legalnemu zachowaniu aplikacji.

Zmienność tempa operacyjnego stwarza wyzwania profilowania bazowego, którym statyczne systemy progowe nie są w stanie sprostać. Ćwiczenie szkoleniowe nasyca sieć ruchem symulacyjnym. Rotacja rozmieszczenia tymczasowo zmienia populację użytkowników i mieszankę aplikacji. System NTA, który ustala profil bazowy w spokojnym okresie garnizonowym, będzie generował nadmierne wyniki fałszywie pozytywne podczas operacji o wysokim tempie, jeśli nie może dostosować swojego modelu statystycznego do bieżącego kontekstu operacyjnego. Strumieniowe modele profili bazowych aktualizowane w sposób ciągły z konfigurowalnymi parametrami bezwładności są bardziej odpowiednie dla środowisk wojskowych niż podejścia oparte na stałym okresie referencyjnym.

Tworzenie profili bazowych ruchu: jak wygląda normalny stan w sieci niejawnej

Profil bazowy ruchu nie jest pojedynczą liczbą. Jest wielowymiarowym modelem statystycznym, który rejestruje typowy rozkład protokołów, wolumenów przepływu, wskaźników połączeń, liczby bajtów na sesję i relacji między parami komunikacyjnymi w całej sieci o różnych porach dnia, dniach tygodnia i fazach operacyjnych. Zbudowanie sensownego profilu bazowego wymaga ciągłego zbierania telemetrii przepływu lub danych pełnych pakietów przez okres wystarczająco długi, aby uchwycić pełną zmienność legalnej aktywności sieciowej -- zazwyczaj cztery do ośmiu tygodni w enklawie wojskowej. W tym okresie system NTA buduje profile na hosta, enkławę i protokół, które stanowią rozkład referencyjny, z którym porównywane są przyszłe obserwacje.

Najbardziej analitycznie użytecznym wymiarem profilu bazowego sieci wojskowej jest graf komunikacji: które hosty komunikują się z którymi innymi hostami, przy użyciu jakich protokołów, przy jakich średnich wolumenach bajtów i wskaźnikach połączeń. W dobrze posegmentowanej enklawie wojskowej graf komunikacji jest rzadki. Większość stacji roboczych komunikuje się z niewielką liczbą usług infrastrukturalnych (kontrolery domeny, resolwery DNS, serwery aplikacji, serwery plików) i rzadko ze sobą nawzajem. Nowa krawędź w tym grafie -- stacja robocza, która nigdy nie komunikowała się z konkretnym serwerem, nagle otwierająca do niego połączenie -- jest statystycznie istotna w sposób, w jaki nie byłaby w płaskiej sieci korporacyjnej, gdzie komunikacja boczna jest rutynowa. Narzędzia NTA, które modelują graf komunikacji wprost zamiast jedynie progów wolumenowych, zapewniają znacznie lepszą czułość wykrywania ruchu bocznego w enkawach niejawnych.

Jakość profilu bazowego zależy krytycznie od kompletności pokrycia tapami podczas okresu zbierania. Profil bazowy zbudowany wyłącznie z ruchu obwodowego będzie niewidomy na przepływy wschód-zachód, które nigdy nie przekraczają czujnika obwodowego. Profil bazowy zbudowany z portu SPAN, który gubi pakiety pod obciążeniem, będzie niedoszacowywał protokoły o wysokim wolumenie, powodując, że model statystyczny będzie traktował te wskaźniki protokołów jako anomalnie wysokie podczas normalnych operacji. Przed zatwierdzeniem okresu profilowania należy zweryfikować pokrycie tapami względem diagramu topologii sieci i potwierdzić, że czujnik odbiera bezstratny ruch o oczekiwanych wolumenach. Luki wykryte po okresie profilowania wymagają ponownego profilowania z tego punktu tap, a nie łatania modelu szacunkami.

Analiza protokołów: wykrywanie nieautoryzowanego lub anomalicznego użycia protokołów

Wykrywanie anomalii na poziomie protokołu działa na prostszej logice niż profilowanie behawioralne: jeśli protokół nie powinien być obecny w danym segmencie sieci, każde jego wystąpienie jest alertem. Wyzwaniem jest zdefiniowanie macierzy dozwolonych protokołów z wystarczającą szczegółowością, aby była operacyjnie sensowna. Reguła blokująca wszystkie protokoły inne niż Windows-domain w sieci VLAN stacji roboczych wykryje SSH, Telnet i IRC używane jako ukryte kanały, ale wygeneruje też alert dla każdej legalnej aplikacji korzystającej z niestandardowych portów, chyba że te aplikacje zostaną wyliczone i ich przepływy zostaną dodane do białej listy według portu i docelowego adresu IP. Macierz dozwolonych protokołów jest dokumentem żywym, który musi być utrzymywany w miarę zmian aplikacji, a narzędzia NTA, które automatycznie wykrywają pojawienie się nowego protokołu w segmencie i proponują aktualizację białej listy, zmniejszają obciążenie administracyjne związane z utrzymaniem aktualności macierzy.

Tunelowanie protokołów -- enkapsulowanie jednego protokołu wewnątrz innego w celu obejścia inspekcji -- jest trwałą techniką stosowaną w sieciach wojskowych właśnie dlatego, że zewnętrzny protokół jest często dozwolony. Tunelowanie DNS koduje dowolne dane w rekordach zapytań i odpowiedzi DNS, wykorzystując fakt, że ruch DNS rzadko jest blokowany na obwodach wojskowych. Tunelowanie HTTP/HTTPS przenosi ruch sterujący inny niż HTTP wewnątrz sesji HTTP, aby wyjść przez serwery proxy WWW. Tunelowanie ICMP koduje dane w polu ładunku pakietów echo ICMP. Wykrywanie tunelowania przez NTA opiera się na sygnaturach zachowań protokołu, a nie na regułach opartych na portach: przepływ DNS z wyjątkowo długimi nazwami zapytań, wysokim wskaźnikiem zapytań z pojedynczego hosta i odpowiedziami zawierającymi duże rekordy TXT lub AAAA jest charakterystyczny dla tunelowania DNS niezależnie od tego, czy używa portu 53. Narzędzia wykonujące głęboką inspekcję pakietów na dozwolonych protokołach w celu weryfikacji, czy ruch jest zgodny z oczekiwaną gramatyką protokołu, są znacznie skuteczniejsze niż narzędzia ufające numerom portów jako identyfikatorom protokołów.

Wykrywanie ukrytych kanałów wykracza poza znane techniki tunelowania do statystycznej analizy entropii pól protokołu i wzorców czasowych. Ukryty kanał kodujący dane w bitach niskiego rzędu numerów sekwencji TCP lub w polach wypełnienia nagłówków IP nie produkuje nietypowych naruszeń gramatyki protokołu, ale generuje anomalie statystyczne: rozkłady numerów sekwencji, które nie są losowe, wartości pól wypełnienia korelujące między połączeniami lub taktowanie między pakietami pasujące do znanych schematów kodowania. Takie wykrywanie wymaga dedykowanych modułów analizy statystycznej, a nie ogólnego wykrywania anomalii, i jest najbardziej praktyczne w zastosowaniu do segmentów sieci o wysokiej wartości, a nie pełnego pokrycia sieci.

Wykrywanie ruchu bocznego: wskaźniki nadużycia SMB, WMI i Kerberos

Ruch boczny w wojskowych sieciach opartych na Windows podąża przewidywalnymi ścieżkami protokołów, ponieważ ekosystem Windows oferuje ograniczony zestaw wbudowanych mechanizmów zdalnego wykonania. SMB (Server Message Block, port 445) jest najczęściej nadużywany, ponieważ obsługuje nie tylko udostępnianie plików, ale także komunikację przez nazwane potoki używaną przez DCOM, tworzenie usług przez Service Control Manager i manipulację zaplanowanymi zadaniami -- wszystko to pozwala przeciwnikowi wykonać kod na zdalnym hoście używając wyłącznie ważnych poświadczeń i dostępu sieciowego. Wykrywanie SMB na poziomie NTA skupia się na grafie komunikacji: połączenia SMB peer-to-peer między stacjami roboczymi, które nie mają historii bazowej takiej komunikacji, połączenia do udziałów administracyjnych (C$, ADMIN$) z hostów, które normalnie nie mają dostępu do tych udziałów, oraz wzorce przekazywania SMB, gdzie host odbierający przychodzące połączenie SMB natychmiast inicjuje wychodzące SMB do trzeciego hosta, charakterystyczne dla ataków NTLM relay.

Ruch boczny przez WMI (Windows Management Instrumentation) jest trudniejszy do wykrycia wyłącznie z ruchu sieciowego, ponieważ wstępne połączenie DCOM na porcie 135 jest następowane przez dynamicznie negocjowany wysoki port przenoszący rzeczywisty ładunek WMI. Narzędzia NTA muszą skorelować połączenie na porcie 135 z kolejnym połączeniem na dynamicznym porcie z tego samego źródła, aby rozpoznać kompletną sesję WMI i sklasyfikować ją jako zdalne zdarzenie wykonania WMI. Kluczowym wskaźnikiem behawioralnym jest czas: legalna aktywność WMI z platform zarządzających odbywa się według przewidywalnych harmonogramów ze stabilnymi parami źródło-cel. Spontaniczne połączenia WMI ze stacji roboczych do serwerów w nieregularnych godzinach, lub połączenia WMI z hostów, które nie mają historii bazowej inicjowania sesji WMI, są wskaźnikami ruchu bocznego o wysokiej pewności, które narzędzia NTA powinny wyświetlać bez konieczności pełnego deszyfrowania ładunku.

Wskaźniki nadużycia Kerberos są widoczne w ruchu uwierzytelniania nawet wtedy, gdy rzeczywisty ładunek ruchu bocznego jest zaszyfrowany. Kerberoasting -- technika żądania biletów usług dla wszystkich wyliczalnych nazw głównych usług (SPN) w celu ich złamania offline -- generuje serie komunikatów TGS-REQ z pojedynczej stacji roboczej, żądającej biletów dla dużej liczby SPN w krótkim oknie czasowym. Ten wzorzec jest statystycznie odróżnialny od legalnej aktywności Kerberos, gdzie stacja robocza żąda biletów dla konkretnych usług, których faktycznie potrzebuje. Ataki pass-the-ticket i overpass-the-hash generują komunikaty Kerberos AS-REQ używające nietypowych typów szyfrowania lub pochodzące z hostów, które nie mają historii bazowej uwierzytelniania do atakowanej usługi. Profilowanie wolumenów żądań Kerberos na hosta i różnorodności żądań SPN zapewnia rozkład referencyjny, na tle którego te wzorce ataków stają się statystycznie widoczne.

Analiza zaszyfrowanego ruchu: wyodrębnianie wskaźników bez deszyfrowania

Udział zaszyfrowanego ruchu w sieciach wojskowych znacznie wzrósł, gdy TLS 1.3 stał się standardem dla protokołów warstwy aplikacji, a starsze protokoły niezaszyfrowane zostały zastąpione zaszyfrowanymi alternatywami. Tworzy to lukę wykrywania dla narzędzi NTA opartych na inspekcji ładunku: zawartość zaszyfrowanej sesji jest niedostępna bez możliwości deszyfrowania. Analiza zaszyfrowanego ruchu (ETA) wypełnia tę lukę, wyodrębniając cechy metadanych z uzgadniania TLS i charakterystyki behawioralnej sesji, które pozostają widoczne nawet gdy ładunek jest zaszyfrowany. Komunikat TLS client hello, wysyłany niezaszyfrowanie przed ustanowieniem kluczy szyfrowania, zawiera wersję TLS, listę zestawów szyfrowania, obsługiwane rozszerzenia i -- do czasu zaszyfrowanego SNI w TLS 1.3 -- wskazanie nazwy serwera. Fingerprinting JA3 redukuje te dane uzgadniania do kompaktowego skrótu charakteryzującego implementację klienta TLS, umożliwiając identyfikację konkretnych rodzin złośliwego oprogramowania lub platform C2 na podstawie ich charakterystycznego zachowania negocjacji TLS bez inspekcji zaszyfrowanego ładunku.

Poza uzgadnianiem, cechy behawioralne zaszyfrowanych sesji niosą sygnał klasyfikacyjny. Rozkłady długości pakietów różnią się między interaktywnymi sesjami ludzkimi (zmienny, burstowy) a automatycznym ruchem beacona (regularne interwały, stałe rozmiary pakietów). Taktowanie przybycia zaszyfrowanych pakietów ujawnia podstawowy wzorzec komunikacji: beacon Cobalt Strike z 60-sekundowym interwałem snu generuje rozpoznawalny rozkład czasu przybycia nawet przez TLS. Liczba bajtów sesji i czas trwania przepływu odróżniają masowe transfery danych od keepalive'ów kanałów sterujących. Narzędzia NTA łączące odciski JA3 z cechami behawioralnymi przepływu mogą klasyfikować zaszyfrowane sesje z dokładnością porównywalną do klasyfikacji opartej na ładunku dla znanych rodzin złośliwego oprogramowania, jednocześnie wykrywając nieznane zagrożenia, których behawioralny odcisk palca odbiega od ustalonego profilu bazowego.

Praktycznym ograniczeniem ETA w sieciach wojskowych jest różnorodność legalnego zaszyfrowanego ruchu. Niejawna enklawa może uruchamiać dziesiątki aplikacji, każdą z odmiennymi charakterystykami implementacji TLS, generując złożony profil bazowy legalnych odcisków JA3 i profili zachowań sesji. Utrzymanie dokładnej białej listy legalnych odcisków TLS wymaga aktywnego zarządzania w miarę aktualizowania przez aplikacje ich bibliotek TLS. Najbardziej operacyjnie praktycznym podejściem jest profilowanie rozkładu odcisków JA3 na enkawę i docelowy zakres adresów IP oraz alarmowanie o odciskach pojawiających się po raz pierwszy, zamiast utrzymywania ręcznie zarządzanej białej listy. Nowe odciski są weryfikowane względem bazy danych znanych dobrych odcisków i klasyfikowane jako legalne, podejrzane lub złośliwe na podstawie ich proweniencji.

Korelacja alertów z SIEM: redukcja szumu przy zachowaniu wierności wykrywania

Najczęstszą przyczyną niepowodzenia wdrożenia NTA w środowiskach wojskowych nie jest niewystarczająca czułość wykrywania -- lecz przeciążenie alertami. Czujnik NTA monitorujący ruchliwą sieć niejawną może generować tysiące alertów anomalii o niskiej pewności dziennie, z których większość to fałszywe alarmy z legalnego ruchu nieznacznie odbiegającego od profilu bazowego. Gdy te alerty trafiają do SIEM bez logiki korelacji, analitycy stają przed ciężarem triage'u przekraczającym dostępną wydajność kadrową, a alerty o wysokiej pewności reprezentujące rzeczywiste zagrożenia są zakopane w szumie. Rozwiązaniem nie jest podnoszenie progów wykrywania -- co obniża czułość i pozwala rzeczywistym atakom pozostać niewykrytymi -- lecz budowanie logiki korelacji w SIEM, która promuje izolowane alerty NTA o niskiej pewności do incydentów o wysokiej pewności tylko wtedy, gdy są potwierdzane przez niezależne dowody z innych źródeł danych.

Najskuteczniejsze wzorce korelacji łączą alerty anomalii NTA z telemetrią uwierzytelniania, danymi wykrywania punktów końcowych i logami DNS. Pojedynczy alert NTA o anomalicznej aktywności SMB ma niską pewność sam w sobie -- może być błędnie skonfigurowaną aplikacją lub jednorazową akcją administracyjną. Ten sam alert NTA skorelowany z błędem uwierzytelniania Kerberos z tego samego hosta źródłowego w ciągu pięciu minut i zdarzeniem logowania Windows Event ID 4624 na hoście docelowym przy użyciu konta, które normalnie nie loguje się do tego hosta, tworzy trójźródłowe potwierdzenie niosące wysoką pewność jako wskaźnik ruchu bocznego. Reguły korelacji SIEM definiujące te wieloźródłowe łańcuchy dowodów dla najważniejszych technik ataków (ruch boczny, wydobycie poświadczeń, przygotowanie danych, dowodzenie i kontrola) dramatycznie zmniejszają wolumen alertów przy zachowaniu pokrycia wykrywania dla zagrożeń o najwyższym priorytecie.

Tłumienie alertów przez kontekst aktywów redukuje szum bez degradowania wykrywania. Alert NTA o wzorcu połączeń podobnym do skanowania z hosta oznaczonego w inwentarzu aktywów jako skaner podatności jest automatycznie tłumiony. Alert o nietypowym ruchu wychodzącym z hosta oznaczonego jako dioda danych jest natychmiast eskalowany, ponieważ diody danych nigdy nie powinny inicjować połączeń wychodzących. Integracja pipeline'u alertów czujnika NTA z utrzymywanym inwentarzem aktywów -- nawet prostym płaskim plikiem mapującym adresy IP na role hostów -- pozwala na automatyczne zamknięcie lub eskalację znacznej części alertów o niskiej pewności na podstawie tego, czy obserwowane zachowanie jest wiarygodne dla danego typu hosta. W sieciach wojskowych, gdzie role hostów są stosunkowo stabilne w porównaniu z dynamicznymi środowiskami korporacyjnymi, tłumienie oparte na kontekście aktywów może zmniejszyć wolumen fałszywych alarmów o 40 do 60% bez nakładu konfiguracyjnego ponad utrzymywanie listy aktywów.

Architektura wdrożenia: rozmieszczenie tapów, porty SPAN i skalowalność czujników

Skuteczne pokrycie NTA wymaga bezstratnego dostarczania ruchu do czujnika. Dwie główne metody dostarczania ruchu do czujnika NTA to pasywne taps optyczne i porty SPAN (Switched Port Analyzer). Pasywne taps optyczne rozdzielają sygnał optyczny na łączu światłowodowym i dostarczają kopię do czujnika bez wprowadzania żadnego opóźnienia ani tworzenia widocznego sieciowo punktu podsłuchu. Są preferowaną metodą dla łączy o wysokiej wartości, ponieważ nie mogą być wyłączone przez zmiany konfiguracji przełącznika i nie wpływają na wydajność łącza przy żadnym obciążeniu ruchem. Porty SPAN, konfigurowane na zarządzanym przełączniku, kopiują ruch z jednego lub wielu portów źródłowych lub sieci VLAN do wyznaczonego portu monitora. Porty SPAN są bardziej elastyczne i tańsze niż fizyczne taps, ale mają ważne ograniczenia: wiele platform przełączników gubi pakiety na porcie SPAN pod wysokim obciążeniem, a konfiguracja SPAN jest widoczna w konfiguracji przełącznika i może być przypadkowo zmodyfikowana podczas rutynowych zmian sieci.

Skalowalność czujników na wojskowych szkieletach o wysokiej przepustowości wymaga sprzętu brokera pakietów między tapem a czujnikiem. Łącze między-enkawowe 10 Gbps może przenosić 2 do 5 Gbps rzeczywistego ruchu pod szczytowym obciążeniem -- w granicach wydajności przetwarzania pojedynczego czujnika NTA -- ale łącze szkieletowe 100 Gbps wymaga albo rozproszonych czujników, albo brokera pakietów filtrującego, rozkładającego obciążenie i deduplikującego ruch przed przekazaniem do warstwy czujników. Brokerzy pakietów umożliwiają też agregację tapów: pojedynczy czujnik może odbierać ruch z wielu tapów przez brokera łączącego zasilania i stosującego reguły filtrowania w celu zmniejszenia wolumenu, który czujnik musi przetwarzać. Dla niejawnych enklaw, gdzie sprzęt fizyczny musi spełniać rygorystyczne wymagania bezpieczeństwa, specjalnie zbudowane urządzenia brokera pakietów zwalidowane dla odpowiedniego poziomu klasyfikacji są dostępne od niewielkiej liczby wyspecjalizowanych dostawców.

Strategia rozmieszczenia czujników powinna uwzględniać zarówno wymagania pokrycia, jak i architekturę segmentacji sieci. Minimalny zestaw tapów dla enklawy wojskowej obejmuje obwód (ruch wchodzący i wychodzący z enklawy), punkt routingu między sieciami VLAN (ruch wschód-zachód między segmentami w enklawie) i segment serwera obsługującego infrastrukturę uwierzytelniania i krytyczne serwery aplikacji. Ta trójpunktowa architektura zapewnia pokrycie wszystkich zewnętrznych zagrożeń i najważniejszych wewnętrznych ścieżek ruchu bocznego przy liczbie czujników zarządzalnej operacyjnie. Pełne pokrycie każdego segmentu przełącznika dostępowego wymaga znacznie więcej czujników i przepustowości, ale zapewnia widoczność ruchu bocznego wewnątrz segmentu, który trójpunktowa architektura pomija. Decyzja oparta na ryzyku dotycząca głębokości pokrycia musi ważyć prawdopodobieństwo ataków wewnątrz segmentu względem operacyjnego kosztu dodatkowej infrastruktury czujników i wolumenu alertów w danej enklawie, z uwzględnieniem ocen ryzyka zagrożeń wewnętrznych specyficznych dla organizacji.