Analiza traficului de rețea pentru rețele militare: stabilirea liniei de referință, detectarea anomaliilor și mișcarea laterală

Un adversar care a obținut acces inițial la o rețea militară nu își anunță prezența cu programe malware zgomotoase, detectabile prin semnături. Se deplasează lent, folosind protocoale deja prezente, credențiale deja valide și căi de comunicare deja existente. Analiza traficului de rețea (NTA) este disciplina care face această mișcare vizibilă: prin înțelegerea aspectului normal al traficului pe o rețea clasificată specifică și construirea logicii de detectare în jurul abaterilor de la această normă, instrumentele NTA relevă indicatorii comportamentali pe care sistemele de detectare a intruziunilor bazate pe semnături îi ratează. Acest articol acoperă metodele tehnice pentru stabilirea liniilor de referință, detectarea anomaliilor de protocol, identificarea tiparelor de mișcare laterală și integrarea ieșirilor NTA într-un SIEM într-un mod care produce alerte acționabile, nu zgomot.

De ce traficul rețelelor militare prezintă provocări unice de analiză

Rețelele militare diferă de mediile enterprise în moduri care afectează direct modul în care instrumentele NTA trebuie configurate și reglate. Cea mai semnificativă diferență structurală este segmentarea la granița de clasificare: traficul dintre enclave la niveluri diferite de clasificare este strict constrâns de politici, iar orice flux care traversează o graniță fără a fi permis explicit constituie imediat o anomalie de înaltă încredere. Această previzibilitate este un avantaj analitic pe care instrumentele NTA enterprise nu sunt construite să îl exploateze. Un instrument conceput pentru o rețea comercială unde orice utilizator poate accesa orice endpoint SaaS va genera mult mai multă variație de referință decât unul implementat într-o enclavă unde 90% din traficul legitim circulă între un set mic de servere de aplicații și stații de lucru client pe porturi definite.

Populația de protocoale din rețelele militare adaugă un alt nivel de complexitate. Aplicațiile de comandă și control moștenite, sistemele de mesagerie STANAG, gateway-urile de voce securizată și middleware-ul de integrare a senzorilor specializați coexistă cu protocoalele standard de domeniu Windows. Un senzor NTA care decodifică numai protocoalele enterprise comune va clasifica o fracțiune substanțială din traficul aplicațiilor militare ca fluxuri UDP sau TCP necunoscute, degradând capacitatea sa de a detecta anomalii în cadrul acelor familii de protocoale. Implementarea eficientă a NTA în rețelele militare necesită fie decodoare de protocoale personalizate, fie o integrare strânsă cu proprietarii de aplicații pentru a mapa porturile și caracteristicile de flux corespunzătoare comportamentului legitim al aplicațiilor.

Variația ritmului operațional creează provocări de stabilire a liniei de referință pe care sistemele cu praguri statice nu le pot gestiona. Un exercițiu de instruire satură rețeaua cu trafic de simulare. O rotație de desfășurare schimbă temporar populația de utilizatori și mixul de aplicații. Un sistem NTA care fixează o linie de referință în timpul unei perioade liniștite de garnizoană va genera un număr excesiv de fals-pozitive în timpul operațiunilor cu ritm ridicat dacă nu poate adapta modelul statistic la contextul operațional curent. Modelele de referință în flux care se actualizează continuu cu parametri de inerție configurabili sunt mai adecvate pentru mediile militare decât abordările cu perioadă de referință fixă.

Stabilirea liniilor de referință ale traficului: cum arată normalul într-o rețea clasificată

O linie de referință a traficului nu este un singur număr. Este un model statistic multidimensional care surprinde distribuția tipică a protocoalelor, volumele de flux, ratele de conexiune, numărul de octeți per sesiune și relațiile dintre perechile de comunicare în rețea la diferite ore ale zilei, zile ale săptămânii și faze operaționale. Construirea unei linii de referință semnificative necesită colectarea telemetriei de flux sau a datelor complete de pachete în mod continuu pe o perioadă suficient de lungă pentru a surprinde întreaga variație a activității legitime din rețea -- de obicei patru până la opt săptămâni pe o enclavă militară. În această perioadă, sistemul NTA construiește profiluri per gazdă, per enclavă și per protocol care formează distribuția de referință față de care sunt comparate observațiile viitoare.

Cea mai utilă dimensiune analitică a unei linii de referință a rețelei militare este graful de comunicare: care gazde comunică cu care alte gazde, folosind ce protocoale, la ce volume medii de octeți și rate de conexiune. Pe o enclavă militară bine segmentată, graful de comunicare este rar. Majoritatea stațiilor de lucru comunică cu un număr mic de servicii de infrastructură (controlere de domeniu, rezolvoare DNS, servere de aplicații, servere de fișiere) și rareori între ele. Un nou arc în acest graf -- o stație de lucru care nu a comunicat niciodată cu un anumit server deschizând brusc o conexiune la acesta -- este statistic semnificativă într-un mod în care nu ar fi pe o rețea enterprise plată unde comunicarea laterală este obișnuită. Instrumentele NTA care modelează explicit graful de comunicare, mai degrabă decât praguri pur volumetrice, oferă o sensibilitate substanțial mai bună în detectarea mișcării laterale pe enclavele clasificate.

Calitatea liniei de referință depinde critic de completitudinea acoperirii de interceptare în timpul perioadei de colectare. O linie de referință construită exclusiv din traficul perimetral va fi oarbă la fluxurile est-vest care nu traversează niciodată senzorul perimetral. O linie de referință construită dintr-un port SPAN care pierde pachete sub sarcină va subconta protocoalele cu volum ridicat, determinând modelul statistic să trateze acele rate de protocol ca anormal de ridicate în operațiunile normale. Înainte de a te angaja la o perioadă de stabilire a liniei de referință, verificați acoperirea interceptărilor față de diagrama topologiei rețelei și confirmați că senzorul primește trafic fără pierderi la volumele așteptate. Lacunele descoperite după perioada de stabilire a liniei de referință necesită restabilirea liniei de referință de la acel punct de interceptare, nu corectarea modelului cu estimări.

Analiza protocoalelor: detectarea utilizării neautorizate sau anormale a protocoalelor

Detectarea anomaliilor la nivel de protocol funcționează pe o logică mai simplă decât stabilirea liniei de referință comportamentale: dacă un protocol nu ar trebui să fie prezent pe un segment de rețea dat, orice instanță a acestuia constituie o alertă. Provocarea este definirea matricei de protocoale permise cu suficientă granularitate pentru a fi semnificativă din punct de vedere operațional. O regulă care blochează toate protocoalele non-Windows-domeniu pe un VLAN de stații de lucru va detecta SSH, Telnet și IRC utilizate ca canale disimulate, dar va alerta și la fiecare aplicație legitimă care folosește porturi non-standard, cu excepția cazului în care acele aplicații sunt enumerate și fluxurile lor sunt trecute pe lista albă după port și IP destinație. Matricea de protocoale permise este un document viu care trebuie menținut pe măsură ce aplicațiile se schimbă, iar instrumentele NTA care pot detecta automat când apare un nou protocol într-un segment și propun o actualizare a listei albe reduc sarcina administrativă de menținere a matricei actualizate.

Tunelarea protocoalelor -- încapsularea unui protocol în altul pentru a eluda inspecția -- este o tehnică persistentă în rețelele militare tocmai pentru că protocolul exterior este adesea permis. Tunelarea DNS codifică date arbitrare în înregistrările de interogare și răspuns DNS, exploatând faptul că traficul DNS este rareori blocat la perimetrele militare. Tunelarea HTTP/HTTPS transportă trafic de control non-HTTP în sesiuni HTTP pentru a ieși prin proxy-uri web. Tunelarea ICMP codifică date în câmpul de sarcină al pachetelor ICMP echo. Detectarea NTA a tunelării se bazează pe semnăturile comportamentului protocoalelor, mai degrabă decât pe regulile bazate pe port: un flux DNS cu nume de interogare neobișnuit de lungi, rate ridicate de interogare de la o singură gazdă și răspunsuri care transportă înregistrări TXT sau AAAA mari este caracteristic tunelării DNS indiferent dacă folosește portul 53. Instrumentele care efectuează inspecție profundă a pachetelor pe protocoalele permise pentru a verifica că traficul respectă gramatica protocolului așteptat sunt semnificativ mai eficiente decât instrumentele care folosesc numerele de port ca identificatori de protocol.

Detectarea canalelor disimulate se extinde dincolo de tehnicile cunoscute de tunelare la analiza statistică a entropiei câmpurilor de protocol și a tiparelor de temporizare. Un canal disimulat care codifică date în biții de ordin inferior ai numerelor de secvență TCP sau în câmpurile de completare ale antetelor IP nu va produce violări ale gramaticii protocoalelor, dar va produce anomalii statistice: distribuții ale numerelor de secvență care nu sunt aleatoare, valori ale câmpurilor de completare care se corelează între conexiuni sau temporizare inter-pachete care corespunde unei scheme de codificare cunoscute. Aceste detecții necesită module de analiză statistică special construite, mai degrabă decât detectare generică a anomaliilor, și sunt cel mai practice atunci când se aplică segmentelor de rețea de mare valoare, nu acoperirii complete a rețelei.

Detectarea mișcării laterale: indicatori de abuz SMB, WMI și Kerberos

Mișcarea laterală în rețelele militare bazate pe Windows urmează căi de protocol previzibile, deoarece ecosistemul Windows oferă un set limitat de mecanisme de execuție de la distanță încorporate. SMB (Server Message Block, portul 445) este cel mai frecvent abuzat, deoarece suportă nu numai partajarea de fișiere, ci și comunicarea prin pipe-uri cu nume utilizate de DCOM, crearea de servicii prin Service Control Manager și manipularea sarcinilor programate -- toate acestea permițând unui adversar să execute cod pe o gazdă de la distanță folosind numai credențiale valide și acces la rețea. Detectarea NTA la nivel SMB se concentrează pe graful de comunicare: conexiuni SMB peer-to-peer între stații de lucru care nu au niciun istoric de referință al unei astfel de comunicări, conexiuni la share-uri administrative (C$, ADMIN$) de la gazde care nu accesează în mod normal acele share-uri și tipare de reluare SMB în care o gazdă primește o conexiune SMB de intrare și inițiază imediat SMB de ieșire către o a treia gazdă, caracteristice atacurilor de reluare NTLM.

Mișcarea laterală prin WMI (Windows Management Instrumentation) este mai dificil de detectat exclusiv din traficul de rețea, deoarece conexiunea DCOM inițială pe portul 135 este urmată de un port dinamic negociat care transportă sarcina WMI efectivă. Instrumentele NTA trebuie să coreleze conexiunea pe portul 135 cu conexiunea ulterioară pe portul dinamic de la aceeași sursă pentru a recunoaște sesiunea WMI completă și a o clasifica ca un eveniment de execuție WMI de la distanță. Indicatorul comportamental cheie este temporizarea: activitatea WMI legitimă de pe platformele de management are loc pe programe previzibile cu perechi stabile sursă-destinație. Conexiunile WMI spontane de la stații de lucru la servere la ore neregulate, sau conexiunile WMI de la gazde care nu au niciun înregistrare de referință că au inițiat sesiuni WMI, sunt indicatori de mișcare laterală de înaltă încredere pe care instrumentele NTA ar trebui să îi releveze fără a necesita decriptarea completă a sarcinii.

Indicatorii de abuz Kerberos sunt vizibili în traficul de autentificare chiar și atunci când sarcina efectivă de mișcare laterală este criptată. Kerberoasting -- tehnica de solicitare a tichetelor de serviciu pentru toate SPN-urile enumerabile pentru a le sparge offline -- produce o explozie de mesaje TGS-REQ de la o singură stație de lucru, solicitând tichete pentru un număr mare de SPN-uri într-o fereastră scurtă. Acest tipar este statistic distinctiv față de activitatea Kerberos legitimă, în care o stație de lucru solicită tichete pentru serviciile specifice de care are nevoie cu adevărat. Atacurile pass-the-ticket și overpass-the-hash produc mesaje Kerberos AS-REQ care folosesc tipuri de criptare neobișnuite sau provin de la gazde care nu au niciun istoric de referință de autentificare la serviciul vizat. Stabilirea liniei de referință a volumelor de solicitări Kerberos per gazdă și a diversității solicitărilor SPN oferă distribuția de referință față de care aceste tipare de atac devin vizibile din punct de vedere statistic.

Analiza traficului criptat: extragerea indicatorilor fără decriptare

Proporția traficului rețelei militare care este criptat a crescut substanțial pe măsură ce TLS 1.3 devine standardul pentru protocoalele de strat de aplicație și pe măsură ce protocoalele moștenite în text clar sunt înlocuite cu alternative criptate. Aceasta creează un decalaj de detectare pentru instrumentele NTA care se bazează pe inspecția sarcinii: conținutul unei sesiuni criptate este inaccesibil fără o capacitate de decriptare. Analiza traficului criptat (ETA) abordează acest decalaj prin extragerea caracteristicilor de metadate din negocierea TLS și a caracteristicilor comportamentale ale sesiunii care rămân vizibile chiar și atunci când sarcina este criptată. Mesajul TLS client hello, trimis în text clar înainte de stabilirea cheilor de criptare, conține versiunea TLS, lista suitelor de cifrare, extensiile suportate și -- până la SNI criptat din TLS 1.3 -- indicația numelui serverului. Amprenta JA3 reduce aceste date de negociere la un hash compact care caracterizează implementarea clientului TLS, permițând identificarea familiilor specifice de malware sau a framework-urilor C2 prin comportamentul lor caracteristic de negociere TLS fără a inspecta nicio sarcină criptată.

Dincolo de negociere, caracteristicile comportamentale ale sesiunilor criptate poartă semnal de clasificare. Distribuțiile lungimilor de pachete diferă între sesiunile interactive umane (variabile, în rafale) și traficul de beacon automatizat (intervale regulate, dimensiuni consistente de pachete). Temporizarea inter-sosire a pachetelor criptate dezvăluie tiparul de comunicare subiacent: un beacon Cobalt Strike cu un interval de somn de 60 de secunde produce o distribuție inter-sosire recognoscibilă chiar și prin TLS. Numărul de octeți ai sesiunii și durata fluxului separă transferurile de date în masă de conexiunile de tip keepalive ale canalelor de control. Instrumentele NTA care combină amprentele JA3 cu caracteristicile comportamentale ale fluxului pot clasifica sesiunile criptate cu o precizie comparabilă cu clasificarea bazată pe sarcină pentru familiile de malware cunoscute, detectând totodată amenințările necunoscute a căror amprentă comportamentală se abate de la orice linie de referință stabilită.

Limitarea practică a ETA în rețelele militare este diversitatea traficului criptat legitim. O enclavă clasificată poate rula zeci de aplicații, fiecare cu caracteristici distincte de implementare TLS, producând o linie de referință complexă de amprente JA3 și profiluri de comportament de sesiune legitime. Menținerea unei liste de permisiuni precise a amprentelor TLS legitime necesită gestionare activă pe măsură ce aplicațiile își actualizează bibliotecile TLS. Abordarea cel mai practicabilă din punct de vedere operațional este stabilirea liniei de referință a distribuției amprentelor JA3 per enclavă și per interval de IP destinație, alertând la amprentele care apar pentru prima dată, mai degrabă decât menținând o listă albă curată manual. Noile amprente sunt revizuite față de o bază de date de referință a celor cunoscute ca bune și clasificate ca legitime, suspecte sau malițioase în funcție de proveniența lor.

Corelarea alertelor cu SIEM: reducerea zgomotului păstrând fidelitatea detectării

Cel mai comun mod de eșec al implementării NTA în mediile militare nu este sensibilitatea insuficientă a detectării -- este supraîncărcarea cu alerte. Un senzor NTA care monitorizează o rețea clasificată aglomerată poate genera mii de alerte de anomalie cu încredere redusă pe zi, majoritatea false pozitive din traficul legitim care se abate marginal de la linia de referință. Când aceste alerte ajung într-un SIEM fără logică de corelare, analiștii se confruntă cu o sarcină de triere care depășește capacitatea disponibilă de personal, iar alertele de înaltă încredere care reprezintă amenințări reale sunt îngropate în zgomot. Soluția nu este ridicarea pragurilor de detectare -- ceea ce reduce sensibilitatea și permite atacurilor reale să nu fie detectate -- ci construirea logicii de corelare în SIEM care promovează alertele NTA izolate cu încredere redusă la incidente de înaltă încredere numai când sunt corroborate de dovezi independente din alte surse de date.

Cele mai eficiente tipare de corelare combină alertele de anomalie NTA cu telemetria de autentificare, datele de detectare endpoint și jurnalele DNS. O singură alertă NTA pentru activitate SMB anormală are o încredere redusă în sine -- ar putea fi o aplicație configurată greșit sau o acțiune administrativă ocazională. Aceeași alertă NTA corelată cu un eșec de autentificare Kerberos de la aceeași gazdă sursă în decurs de cinci minute și un eveniment de logare Windows Event ID 4624 pe gazda destinație folosind un cont care nu se conectează în mod normal la acea gazdă creează o corroborare din trei surse care are o încredere ridicată ca indicator de mișcare laterală. Regulile de corelare SIEM care definesc aceste lanțuri de dovezi din mai multe surse pentru cele mai critice tehnici de atac (mișcare laterală, extragere credențiale, staging de date, comandă și control) reduc dramatic volumul de alerte, menținând în același timp acoperirea de detectare pentru amenințările cu cea mai înaltă prioritate.

Suprimarea alertelor prin contextul activelor reduce zgomotul fără a degrada detectarea. O alertă NTA pentru un tipar de conexiune de tip scanare de la o gazdă etichetată în inventarul activelor ca scanner de vulnerabilități este suprimată automat. O alertă pentru trafic neobișnuit de ieșire de la o gazdă etichetată ca diodă de date este promovată imediat, deoarece diodele de date nu ar trebui să inițieze niciodată conexiuni de ieșire. Integrarea pipeline-ului de alerte al senzorului NTA cu un inventar de active menținut -- chiar și un fișier plat simplu care mapează adresele IP la rolurile gazdelor -- permite ca o fracțiune semnificativă din alertele cu încredere redusă să fie închise automat sau escalate în funcție de plauzibilitatea comportamentului observat pentru acel tip de gazdă. Pe rețelele militare unde rolurile gazdelor sunt relativ stabile față de mediile enterprise dinamice, suprimarea contextuală a activelor poate reduce volumul de fals-pozitive cu 40 până la 60% fără niciun efort de configurare în afara menținerii listei de active.

Arhitectura de implementare: plasarea interceptărilor, porturile SPAN și scalabilitatea senzorilor

Acoperirea eficientă NTA necesită ca traficul să ajungă la senzor fără pierderi. Cele două metode principale pentru furnizarea traficului la un senzor NTA sunt interceptările optice pasive și porturile SPAN (Switched Port Analyzer). Interceptările optice pasive divizează semnalul optic pe o legătură de fibră și livrează o copie senzorului fără a introduce nicio latență sau a crea un punct de interceptare vizibil în rețea. Sunt metoda preferată pentru legăturile de mare valoare deoarece nu pot fi dezactivate prin modificări de configurare a switch-ului și nu afectează performanța legăturii sub nicio sarcină de trafic. Porturile SPAN, configurate pe un switch gestionat, copiază traficul de la unul sau mai multe porturi sursă sau VLAN-uri la un port de monitorizare desemnat. Porturile SPAN sunt mai flexibile și mai ieftine decât interceptările fizice, dar au limitări importante: multe platforme de switch pierd pachete pe portul SPAN sub sarcină ridicată, iar configurația SPAN este vizibilă în configurația switch-ului și poate fi modificată involuntar în timpul modificărilor de rețea de rutină.

Scalabilitatea senzorilor pe backbone-urile militare cu debit ridicat necesită hardware broker de pachete între interceptare și senzor. O legătură inter-enclavă de 10 Gbps poate transporta 2 până la 5 Gbps de trafic real la sarcină maximă -- bine în limitele capacității de procesare a unui singur senzor NTA -- dar o legătură backbone de 100 Gbps necesită fie senzori distribuiți, fie un broker de pachete care filtrează, echilibrează sarcina și deduplică traficul înainte de a-l transmite la nivelul senzorilor. Brokerii de pachete permit, de asemenea, agregarea interceptărilor: un singur senzor poate primi trafic de la mai multe interceptări printr-un broker care îmbină fluxurile și aplică reguli de filtrare pentru a reduce volumul pe care trebuie să îl proceseze senzorul. Pentru enclavele clasificate unde hardware-ul fizic trebuie să îndeplinească cerințe stricte de securitate, sunt disponibili brokeri de pachete special construiți, validați pentru nivelul de clasificare relevant, de la un număr mic de furnizori specializați.

Strategia de plasare a senzorilor ar trebui să țină cont atât de cerințele de acoperire, cât și de arhitectura de segmentare a rețelei. Setul minim viabil de interceptări pentru o enclavă militară acoperă perimetrul (traficul care intră și iese din enclavă), punctul de rutare inter-VLAN (traficul est-vest între segmentele din enclavă) și segmentul de servere care găzduiește infrastructura de autentificare și serverele critice de aplicații. Această arhitectură cu trei puncte oferă acoperire pentru toate amenințările externe și cele mai consecvente căi de mișcare laterală internă la un număr de senzori care este gestionabil operațional. Acoperirea completă a fiecărui segment de switch de acces necesită semnificativ mai mulți senzori și lățime de bandă, dar oferă vizibilitate în mișcarea laterală intra-segment pe care arhitectura cu trei puncte o ratează. Decizia bazată pe risc privind adâncimea de acoperire trebuie să cântărească probabilitatea atacurilor intra-segment față de costul operațional al infrastructurii suplimentare de senzori și volumul de alerte pe enclavă, informată de evaluările riscului de amenințări interne specifice organizației.