Behaviorální analýza provozu sítě (internet uplink) UP

Transkript

1 Behaviorální analýza provozu sítě (internet uplink) UP Úvod Většina informací v dnešní době se přenáší nebo je dostupná prostřednictvím datových sítí. Tyto se tak stávají kritickým místem, se kterým bývá spojeno množství problémů, převážně bezpečnostního charakteru. Tyto incidenty jsou v současné době na UP řešeny pomocí intrusion protection systému TippingPoint. Jeho statistiky však neumožňují poskytnout informace o tom, kdo komunikoval s kým, jak dlouho, často, kolik bylo přeneseno dat apod. Tyto informace jsou však nezbytné pro řešení komplikovanějších incidentů na síti, plánování kapacit linek nebo monitorování uživatelů popř. služeb. Vlastní implementace Došlo k vybudování infrastruktury na bázi řešení Invea FlowMon, která monitoruje datový provoz internetové přípojky a následně provádí behaviorální analýzu provozu sítě nad uloženými flow daty. Systém umožňuje dohledání směrem do historie (cca 1 rok). Obr. 1: Zapojení zařízení pro sběr a analýzu provozu

2 V případě srovnání kvality dat generovaných hardwareovou flow sondou Invea versus sflow daty směrovače, je možno na základě níže uvedených grafů konstatovat, že sonda Invea generuje výrazně kvalitnější rovinu záznamu než vlastní směrovač a je proto doporučována i nadále k praktickému použití: Údaje ze sondy jsou označeny jako p3001, sflow ze směrovače je jako p3005.

3 Konkrétní výstupy Tato kapitola sumarizuje celkové charakteristiky provozu v monitorované síti ve vybraných časových úsecích v době implementace jakožto příklad náhledu na to, co mimo jiné tento způsob dokáže přinést bezpečnostním administrátorům. Jedná se o přehled poskytovaných a využívaných služeb a statistiku zatížení sítě jednotlivými IP adresami z hlediska objemu přenášených dat a počtu spojení.rovněž jsou uvedeny zjištěné provozní a bezpečnostní problémy a obecné anomálie provozu datové sítě. Hlavní důraz je kladen na odhalení útoků a nežádoucích aktivit na datové síti, které mohou znamenat infikované zařízení nebo úmysl uživatele. Využívané a poskytované služby Naprostou většinu provozu, cca 93%, tvoří běžný webový provoz (TCP/80). Zabezpečený webový provoz (TCP/443) tvoří 2,4%. Komunikace webových Flash aplikací s Macromedia Flash komunikačním serverem (TCP/1935) spotřebovává 2,1%. Ostatní služby jsou zastoupeny minimálně a dohromady tvoří přibližně 2,5% celkové zátěže. Statistika objemu přenášených dat Výše uvedená tabulka shrnuje IP adresy, které se nejvíce podílely na datových přenosech v monitorované síti. Poměr mezi celkovým příchozím a odchozím provozem je cca 4:1 ve prospěch příchozího. TOP 10 IP adres je původcem 13% celkového objemu provozu. Přestože se jedná o relativně malé číslo, jsou přenosy prvních 10 IP adres v kontextu celého měřeného segmentu adresního prostoru UP ( adres) nezanedbatelné. Na síti jsou nejvíce aktivní servery poskytující služby. TOP 10 IP adres má opačný poměr příchozího a odchozího provozu než zbytek sítě, který je převážně složený z klientských stanic.

4 Statistika počtu spojení Výše uvedená tabulka shrnuje IP adresy, které v monitorované síti vygenerovaly největší počet spojení. Top 10 adres je původcem 16% všech uskutečněných spojení v monitorované síti. IP adresy , uskutečnily velký počet spojení, jelikož se jedná o DNS servery monitorované sítě. Útoky Po dobu monitoringu bylo detekováno několik pokusů o získání neoprávněného přístupu ke službě SSH, tzv. slovníkový útok. Většina útoků, až na pár výjimek, byla neúspěšných a typicky jim předcházelo masivní skenování sítě. Následující tabulka shrnuje potenciálně úspěšné útoky na SSH službu. Nežádoucí aktivity Mezi běžné nežádoucí aktivity řadíme útoky typu denial of service nebo skenování portů. Vzhledem k otevřenosti sítě jsou zajímavé pouze aktivity, které mají původ v monitorované

5 síti. Během vybraného vzorku monitorování sítě proběhlo několik potenciálních skenování s původem ve vnitřní síti. Jednalo se většinou o chaotické skenování, které je charakteristické rychlým navazováním krátkých spojení na náhodné cíle a porty. Nemusí se proto jednat přímo o skenování sítě, ale je to signál podezřelé aktivity jako například používání p2p. Tabulka vpravo zobrazuje TOP 10 IP adres, na které mohl být v době monitorování sítě prováděn DoS/DDoS útok. Kromě DoS útoků se na monitorované síti objevily také událostí HTTP Flood signalizující vysokou frekvenci požadavků na HTTP server. Pravděpodobně se jednalo pouze o zvýšené využívání služby. Nestandardní komunikace Mezi nestandardní síťovou komunikaci řadíme např. vysokou variabilitu v počtu cílových IP adres a cílových portů v krátkém časovém období nebo komunikaci s IP adresami, které se nacházejí na renomovaných černých listinách.

6 Využití internetové přípojky Nalezená anomálie provozu V průběhu monitorování sítě byly zachyceny dva skokové nárůsty datových toků.