Biztonsági vizualizálás

Átírás

1 Biztonsági vizualizálás Biztonsági elemzés grafikus eszközökkel Információ vizualizálás Adatok, információk vizuális képkénti reprezentációjának el!állítása, humán interakció biztosítása humán kvalitatív elemzés, probléma megoldás támogatása (exploratív elemzés) kognitív er!sítés mintázatok, tudás azonosítása, kinyerése küls! reprezentációk segítségével 2

2 Kognitív er!sítés Küls! reprezentáció használatából fakadó el!nyök munka memória tehermentesítése objektumok, attribútumok elérhet!vététele vizuális mintázat feldolgozó rendszer kihasználása párhuzamosság, nagy sávszélesség 3 Magas szint" el!nyök jobb hozzáférés az adatokhoz what-if elemzések (modell operacionalizás) döntés támogatás kommunikációs el!nyök figyelem vezetés (meglep!, új mintázatok) inspiráció 4

3 Vizualizálási folyamat (transzformációk) Absztrakt vizuális objektumok Nézet Nyers adatok Adat Sz!rés Leképezés Rendering Interakció részhalmaz Topológia Geometria Jelek Vizuális jellemz"k Adat struktúrák Visualiz. Interakciós interfész Felhasználó Haber-McNabb pipeline modell 5 Biztonság és vizualizálás Növekv! mennyiség" biztonsági adat Nehezen automatizálható feladatok eredményének értelmezése és elhárítási környezet proaktivitási igény humán elemz!, döntéshozó szükséges automatikus adatbányászati eljárások Gyorsan változó biztonsági támadási tér 6

4 Adatforrások M"ködésb!l származó id!sor adatok logok Statikus konfigurációs adatok konfigurációs állományok Eltér! formátumok -> parszerek szükségessége Proxy-k Hálózati szolgáltatások Alkalmazások Operációs rendszerek Passzív hálózatmonitorozás T!zfalak IDS rendszerek Hálózati folyam rögzítés Hálózati csomag rögzítés 7 Adat problémák Nem teljes információk hiányzó log rekordok hiányzó log fájlok vagy metaadatok nem teljes log rekordok szinkronizálatlan id!bélyegek Forrás/cél keveredés (pl. TCP/IP prot.) kliens-szerver (kapcsolat) párok követése 8

5 Csomagrögzítés rögzítési lehet!ség a hálózati interfészeken (layer 2) protokoll stack réteg? magasabb réteg flow-inak azonosítása rögzített adatok kiterjedése teljes csomag (fejlécek, payload) fejléc infók kiegészít! adatok alkalmazás protokollok spec. adatainak rögzítése online vagy utólagos feldolgozás 9 Folyamok (flow) rögzítése rögzítés routereken, switcheken (layer 4) központi log szerverre kiegészít! layer 3 infók (AS, nexthop, IPcímek) hálózati folyam útvonalak generálhatók csomagrögzítésb!l is aggregálás, clusterezés, anonymizálás NetFlow (Cisco), IPFIX, sflow, cflow (IETF) 10

6 Layer 4-7 m"ködés blokkolási infó T"zfalak Flow-khoz hasonló tartalmú logok + bejöv!, kimen! irányok, küls!, bels! interfész Küls" interfész Bels" interfész Nyílvános hálózat Privát hálózat T!zfal 11 Riasztás logok szabály kezelése IDS rendszerek támadás típus + megsértett riasztási Nagy mennyiség" fals pozitív riasztás prioritálás, sz"rés szignatúra konfidencia? Fels!bb rétegek hiányzó adataival való összekötés 12

7 Operációs rendszerek kernel események (közel realtime) automatikus naplózása syslog logfájlok, továbbítás távoli szerverre login, fájlrendszer audit, restart, shutdown, er!forrás hibák, felhasználó váltás egyéb állapot információk netstat, iostat, vmstat, top, ps 13 Hálózati eszközök Hálózati protokollokkal, interfészekkel kapcsolatos or. infók arp, netstat SNMP lekérdezések információk elérése a MIB segítségével snmpwalk 14

8 Alkalmazások Magas, alkalmazás szint" események naplózása felhasználók (bejelentkezések) alkalmazás státusz infók adatbázis hozzáférések kliens szoftverek helye Biztonsági szempontból érdekes alkalmazás logok web proxy-k mail szerverek adatbázis kezel!k 15 Alkalmas grafikus reprezentációk Hisztogram folytonos arányok Torta diagram Eloszlások dimenziók száma "3 els!dleges változó kategórikus kat. eloszl. Oszlop diagram földrajzi stat. eloszl. Box plot Térkép Relációk, kapcsolatok dimenziók száma >3 2 vagy 3 nem Párhuzamos koordinátás m. Link gráf >3 hierarchia igen Treemap nem Scatter plot Összehasonlítás dimenziók száma "3 id!beli összehasonlitás igen függ! változó kat. Id! diagram Trendek id! intervallum periódusban folytonos Vonal diagram id!pont is Szektor diagram 16

9 Box plot 17 Párhuzamos koordinátás megjelenítés 18

10 Trellis plot 19 Treemap 20

11 Id! diagram Timeline Sparklines 21 Szektor diagram 22

12 A cs!rendszer megvalósítása Rendelkezésre álló adatok elérése parszolás kapcsolódó adatok hozzáadása (metaadatok is) sz"rés aggregálás Vizuális leképezés szubsztrát kialakítása vizuális objektumok adatok leképezése vizuális jellemz!kre 23 Interakció Felhasználói transzformációk a nézet megváltoztatására, a kognitív task elvégzésére Felhasználói adatranszformációk sz"rés (tartományok), aggregálás (statisztikák) Vizuális transzformációk attribútum értékek leképzésének megváltoztatása nézettranszformációk (fókusz, zoom, néz!pont, stb.) 24

13 Interaktív elemzés Iteratív folyamat, vizuális transzformációk sora áttekintés fokusz+kontextus, zoom, sz"rés részletek igény szerint Szokványos megoldások dinamikus leképezés paraméterezés zoomolható, fokusz+kontextus interfészek (statisztikai eszközökkel), mikro-leolvasások kapcsolt nézetek (brushing) 25 Interaktív elemzés (folyt.) multiple connected views w/ brushing 26

14 Vizuális biztonsági elemzés F! alkalmazási területek jelentés készítés id!beli elemzés id!sor vizualizálás korreláció elemzés forensic analysis valósidej" monitorozás dashbord (situational awareness) 27 Jelentés készítés Adatok megjelenítése, kommunikációja 28

15 Id!beli elemzés tevékenységek id!beli aktivitása tevékenységek periodicitása id!beli összefüggések 29 Id!beli elemzés (folyt.) snapshotok összehasonlítása trend elemzés snapshots trendline w/ confidenceband 30

16 Id!beli elemzés (folyt.) mozgó átlag elemzések (MA) exponenciális mozgó átlag (EMA) mozgó átlag konvergencia/divergencia elemzés (MACD) 31 Forensic analysis 32

17 Forensic analysis (folyt.) Hálózati folyamok elemzése Áttekintés (legtöbb forgalmat bonyolítók, szolgáltatások, hosztok) Anomáliák keresése Hosztok által nyújtott szolgáltatások forgalmának részletes elemzése jogosak-e bizonyos szolgáltatások adott hosztokon Hipotézisek felállítása, validálása támadás, fert!zés fennállása, érintett hosztok 33 Forensic analysis (folyt.) Kommunikáció áttekintése, flow adatok 34

18 Forensic analysis (folyt.) Szolgáltatás elemzés flow-k cél portja hosztok szolgáltatást igénybevev!k 35 Realtime monitoring Dashboard típusok m"ködési alap folyamatok m"ködési metrikái taktikai szervezeti egységek, alhálózatok összesített m"ködési metrikái, kivételes helyzetek metrikái stratégiai stratégiai célok megvalósulási metrikái 36

19 Dashboard metrikák 37 Dashboard (pl.) 38

20 Eszközök - adatfeldolgozás Excel, OpenO#ce parser scriptek Texteditorok (reg. exp. támogatás) grep, sed, awk, perl 39 Eszközök - megjelenítés Általános vizualizáló szoftverek statikus grafika készítése interaktív elemzés Treemap Hálózati forgalom megjelenít!k AfterGlow, GraphViz (dot), Gnuplot, R GGobi, Mondrian, Parvis, Tulip, Shoki, InetVis, TNV, NVisionIP, Rumint, EtherApe 40

21 Eszközök - adatformátum szabványosítás Log formátum szabványosítás el!nyök szintaxis - egyszer"bb (egységes) parszolás CEE - Common Event Expression egységesítése könnyebb illesztés, többféle szemantika - egységes tartalom -> könnyebb tartalmi összekapcsolás Vizualizáló szoftverek bemeneti formátum megjelenítés 41