Klient
3 min lugemine
Ettevõtte tulemüür võib näha tuhandeid ründekatseid, kuid kõige ohtlikum neist võib jääda märkamata siis, kui ründaja on juba sisevõrku jõudnud. Telia küberturbe lahenduste insener Tanel Kindsigo sõnul ei piisa tavapärase liikluse sisse sulanduvate rünnete puhul enam ainult kaitsmisest, vaid ettevõte peab suutma näha, mis tema võrgus tegelikult toimub.
Eelmises seireteemalises artiklis kirjutasime, et küberkaitses on seire muutunud kriitilisemaks kui kunagi varem. Olgu seda tegemas sisse ostetud SOC-tiim või ettevõtte enda IT-spetsialistid, keegi peab logidel ja alarmidel järjepidevalt silma peal hoidma, et võimalik intsident õigel ajal tabada. Lootus, et automaatsed kaitsemeetmed peatavad kõik ründed, on ohtlik enesepettus: varem või hiljem leiab ründaja nõrga koha üles. Siis ei ole küsimus enam selles, kas juhtum tuleb lahendada, vaid selles, kui vara see avastatakse ja kui suure kahju suudetakse ära hoida.
Võrkude ja tööjaamade seire ei takista ründajat süsteemidesse pääsemast, kuid võib anda esimese märgi, et sissemurdmine on juba toimunud. See „võib” on siin oluline: küberkurjategijad oskavad teatud ründemeetoditega hiilida mööda ka EDR-lahendustest ehk tööjaamade kaitseks mõeldud Endpoint Detection & Response’i tööriistadest. Seetõttu ei saa seiret piirata ainult tööjaamade ja serveritega. Pärast esmast ligipääsu hakkab ründaja tavaliselt ettevõtte IT-keskkonda kaardistama, et valida järgmised sammud. Just siis tekivad sisevõrgus mustrid, mis võivad ta reeta. Kui võrguliiklust analüüsida võimalikult reaalajas, saab kahtlase tegevuse varem tuvastada ja ründaja enne suurema kahju tekkimist ülejäänud võrgust isoleerida.
Miks tuleb võrguliiklust vaadata seestpoolt?
Küberintsidendi puhul loeb iga minut, ent ööpäevaringne seire ei ole iga ettevõtte jaoks mõistlik ega jõukohane. Kiired automatiseeritud ründed toimuvad sageli minutite või isegi sekunditega ning kui kaitsemeetmetest on juba läbi murtud — või ründaja on lihtsalt varastatud parooliga sisse loginud — ei pruugi inimene sellele õigel hetkel vahele jõuda. Suurem oht peitub aga professionaalsemates rünnetes, mis kulgevad teadlikult aeglaselt. Ründaja võib oma tegevust hajutada päevade, nädalate või kuude peale, et tavapärase võrguliikluse sisse sulanduda ja märkamatuks jääda. Just sellistes olukordades muutub võrguliikluse analüüs kriitiliseks: see võib anda võimaluse ründaja tegevus avastada enne, kui kahju on juba tehtud.
Kuidas see siis käib? Esiteks on meil vaja näha võrguliiklust ja teiseks on meil vaja seda millegagi analüüsida. Kõige loogilisem ja laialt levinud lahendus on kasutada selleks Next Gen Firewall ehk Layer 7 tulemüüri lahendusi. Enamasti on seal IPS moodul, mis tuvastab ja blokeerib tuntud turvaaukude ärakasutamise katseid, Denial of Service ründeid jms. Veebiteenuste kaitsmiseks kasutatakse lisaks ka Web Application Firewall ehk WAF lahendusi. Taolised lahendused on mõeldud eelkõige välisperimeetril kasutamiseks ja need näevad peamiselt internetist sisenevat liiklust. Seda, et välisperimeetril toimub pidevalt automatiseeritud ründeid ja et nende maht on AI tulekuga seoses järsult tõusmas, teame me niigi. Seda seirama asudes ujutatakse meid üle sadade tuhandete alarmide ja tuvastustega päevas ja keegi ei jaksa sellega ammu enam sammu pidada. Kui meie soov on tuvastada küberintsidente, kus ründajal on õnnestunud kaitsemeetmetest kuidagi mööda saada, peaksime võrguliiklust vaatama seestpoolt mitte perimeetrilt.
Sisevõrgus toimuva nägemiseks tuleb võrk kõigepealt mõistlikult tükkideks jagada. Segmenteerimine koondab sarnased seadmed — näiteks serverid, tööjaamad ja IoT-seadmed — eraldi gruppidesse ning võimaldab nendevahelist liiklust tulemüüri kaudu jälgida, lubada või blokeerida. Ent sellest üksi ei piisa. Kõige väärtuslikumad jäljed võivad tekkida just ühe segmendi sees, kuhu tavapärane perimeetrikaitse ei ulatu. Selle nägemiseks tuleb liiklus kätte saada kommutaatori ehk switch’i tasemel. Selleks on võrguseadmetes ammu olemas port-mirror’i võimalus, mis teeb liikluspakettidest koopia ja saadab selle eraldi analüüsi. Just siin tulevad mängu NDR-lahendused ehk Network Detection & Response’i tööriistad, mis aitavad sisevõrgus peituvat kahtlast tegevust nähtavaks teha.
Kuidas NDR lahendus töötab?
Klassikaline NDR-lahendus koosneb sensorist, mis kogub ja edastab metaandmeid, ning andmejärvest, kus toimub analüüs ja käivitatakse vajalikud järeltegevused. Mõnes lahenduses on need koondatud ühte seadmesse, suuremates võrkudes kasutatakse aga korraga mitut sensorit. Sensori ülesanne on võtta kommutaatoritelt vastu võrguliikluse pakettide koopiaid, eraldada neist olulised andmed ehk metadata ning saata need andmejärve. Seal töötleb andmeid analüütikamoodul, mis teeb vajalikud analüüsid, tõstab vajadusel alarmi ja käivitab konkreetse sündmuse puhul ette nähtud automaatsed järeltegevused — näiteks IP-aadressi isoleerimise tulemüüris või AD-konto lukustamise. Selleks on NDR-lahendustel integratsioonid teiste turvalahendustega.
Milles analüütika seisneb? Klassikaline lähenemine on signatuuripõhine: kindel sündmus tuvastatakse eeldefineeritud mustrite või filtrite abil. Sisevõrgus toimuvad sündmused on väga erineva iseloomuga, kuid paljusid neist saab vähemalt osaliselt kirjeldada ja reegliteks vormida. Nii on võimalik teatud tõenäosusega hinnata, kas aset leidis konkreetse ohutasemega sündmus. Täit kindlust ei ole aga peaaegu kunagi, mistõttu on valepositiivsed tuvastused võrguseire paratamatu osa. Just seepärast tuleb automaatsete vastumeetmete rakendamisel olla ettevaatlik: NDR-lahenduse tuvastatud sündmus võib osutuda valehäireks ning kui selle tõttu blokeeritakse midagi ärikriitilist, võib see ettevõtte tööd tõsiselt häirida ja põhjustada reaalset kahju. Ideaalis peaks vähemalt alguses inimene sündmuse üle vaatama ja alles seejärel otsustama, kas vastumeetmed on vajalikud. Hiljem saab protsessi automatiseerida seal, kus valepositiivseid tuvastusi on olnud vähe.
Praktika on näidanud, et signatuuripõhine tuvastus töötab endiselt hästi, eriti siis, kui reegleid on keskkonna järgi kohandatud. Samas on küberkurjategijad õppinud oma tegevust üha paremini tavapärase võrguliikluse sisse peitma. Lisaks on järjest suurem osa sisevõrgu liiklusest krüpteeritud, mistõttu ei saa enam alati pakettide sisu analüüsida. See on muutnud signatuuripõhise tuvastuse kohati vähem tõhusaks ning toonud mängu algoritmid ja tehisintellekti võimalused.
Kaasaegne NDR-tehnoloogia ühendab signatuuripõhise ja algoritmilise analüüsi ning kasutab üha enam ka masinõpet ja tehisintellekti. Algoritmide ülesanne on tuvastada võrguliikluses mustreid, mis võivad viidata kahtlasele tegevusele — näiteks portscan’ile või brute force’i ründele. Kuna küberkurjategijad kasutavad üle maailma küllalt sarnaseid meetodeid ja tööriistu, jätavad nende tegevused võrguliiklusesse sageli äratuntavaid jälgi. Kui need mustrid on teada ja algoritmidele selgeks õpetatud, suureneb võimalus küberintsident varakult avastada.
AI tugevus võrguliikluse analüüsis seisneb võimes luua igapäevasest liiklusest baasmudel ehk baseline: mida seadmed sisevõrgus tavaliselt teevad, millal nad seda teevad ning millist tüüpi ja mahuga andmed liiguvad. Tööjaamad ja serverite teenused käituvad enamasti üsna sarnase mustri järgi. Ka töötajate võrgukasutus järgib üldjuhul teatud rütmi, näiteks tööaja ja harjumuspäraste tegevuste põhjal. Hiljem saab AI seda baasmudelit tegeliku võrguliiklusega võrrelda ning tuvastada anomaaliaid, mis võivad viidata ohule, kuid ei pruugi seda teha. Praktikas tekib selliseid kõrvalekaldeid palju, mistõttu ei saa iga sündmuse peale automaatseid kaitsemeetmeid käivitada. Enne peaks inimene olukorra üle vaatama. Näiteks võib AI tuvastada töövälisel ajal ebatavaliselt suure andmeliikumise, kuid põhjus võib olla hoopis süsteemiinseneri tehtud erakorraline taastamine varukoopiast. Algoritm ei pruugi seda konteksti teada, küll aga teab seda ettevõtte töötaja. Nii võib AI küll alarmi tõsta, kuid tegelikku intsidenti ei ole.
Telia Võrguseire
Lokaalsed IT-süsteemid, kohtvõrgud ja WiFi on kasutusel igas kontoriga ettevõttes, kuid seire — eriti võrguseire — on endiselt vähe levinud. Heal juhul piirduvad ettevõtte võrgukaitse tööriistad tulemüüri ja WiFi-seadmetega, mille logidele vaadatakse otsa vaid aeg-ajalt. Põhjuseid on mitu. Ühelt poolt ei ole küberturbe meetmete rakendamisel seirele seni piisavalt tähelepanu pööratud. Teisalt kipuvad kommertslikud NDR-lahendused olema Eesti turu jaoks liiga kallid. Tasuta alternatiivid on sageli kas liiga keerukad, piiratud võimalustega, vajavad liiga palju riistvaralist ressurssi või jäävad ettevõtte IT-inseneride prioriteetide seas tagaplaanile. Sageli puudub ettevõttes selleks ka vajalik kompetents, mistõttu tuleb teenus ikkagi sisse osta.
Ettevõtetele, kes soovivad viia küberturbe järgmisele tasemele ka võrguseire vaates, on Telia toonud turule uue teenuse — Telia Võrguseire. Teenus põhineb Intrudecti tehnoloogial (www.intrudect.com). Intrudect on Eesti ettevõte ja Telia koostööpartner, kellega koos arendati välja SaaS-pilveplatvorm: andmejärv ja analüütika asuvad Telia andmekeskustes Eestis, andmed on hoolikalt kaitstud ning sensoritena kasutatakse võimalikult väikeseid riistvaraseadmeid. See võimaldab pakkuda Eesti turu vajadustele ja hinnatasemele sobivat NDR-tehnoloogiat, millele seni sisuliselt alternatiivi ei olnud. Teenuse hinnad algavad 200 eurost kuus.
Kuidas Telia Võrguseire töötab?
Kliendi sisevõrku paigaldatakse üks või mitu sensorit, mis koguvad võrguliikluse metaandmeid ja saadavad need Telia andmekeskusesse. Seal andmeid analüüsitakse ning tulemused kuvatakse graafilises veebiliideses, millele klient saab ligipääsu. Vajadusel edastatakse alarmid ka kliendi enda süsteemidesse. Kliendil on oma võrguliikluse andmetele täielik ligipääs: ta saab neid vaadata, kustutada ja eksportida ning muuta ka kogu teenuse seadistust.
Analüütika koosneb mitmest komponendist. Üks neist on signatuuripõhine tuvastus, mis põhineb Suricata reeglitel. AI-põhine tuvastus on praegu analüüsimisel ja lisandub teenusesse tulevikus. Lisaks kasutatakse mitmeid teisi tuvastusmooduleid, mille eesmärk on märgata potentsiaalselt pahatahtlikku liiklust, aga ka ettevõtte turbepoliitika rikkumisi, valesti või puudulikult seadistatud serveriteenuseid, katkestusi nende töös ning autoriseerimata serveriteenuste lisandumist. Oluline osa on ka sisevõrgus tuvastatud seadmete nimekirja jälgimisel: süsteem näeb seadmete lisandumist ja kadumist ning nendega seotud võrguliiklust. Kui võrguliikluse paketid ei ole krüpteeritud, analüüsitakse ka nende sisu — näiteks logitakse DNS-päringuid ning HTTP-ühenduste puhul saab vaadata päiste infot.
Eraldi jälgitakse IT-süsteemide haldustegevustega seotud liiklust. Teenuses saab määrata tööjaamad, kust sellised tegevused on lubatud; kõigi teiste seadmete puhul antakse alarm, kui tuvastatakse näiteks Remote Desktopi või SSH-seansi kasutamine. Samuti saab luua võrgusegmentide vahel virtuaalseid reegleid, mille alusel saadetakse hoiatus, kui teatud tüüpi liiklust on üritatud algatada. Lisaks on kasutusel Virtual Jail tüüpi reeglid, mis annavad märku eeldefineeritud seadmest algatatud väljuvate ühenduste korral.
Tööstusettevõtetele ja suurematele IT-ettevõtetele võib huvi pakkuda ka teenuse lisana pakutav honeypot– ehk meepotisensor. See aitab sissetungijaid tuvastada, emuleerides teatud tüüpi serverit või tööjaama ja meelitades ründajat sinna sisse murdma.
Telia Võrguseire ulatub oma võimalustelt klassikalistest NDR-lahendustest kaugemale. Teenuse eesmärk on koondada erinevad tuvastusviisid ja meetmed üheks tervikuks, mis aitab küberkurjategijate tegevust võimalikult varakult märgata — alates hetkest, kui nad on ettevõtte võrku pääsenud. Teenuse arendamisse on kaasatud spetsialistid, kes tegelevad ka pentestimise ja Red Teamingu teenustega. Tänu sellele on meil hea ülevaade, kuidas ründajad tegutsevad ja milliseid jälgi nad võrguliiklusesse jätavad. Samuti panustavad arendusse pikaajalise võrkude haldamise kogemusega eksperdid. Just neid teadmisi ja praktilist kogemust kasutame Telia Võrguseire arendamisel.
Kindlasti on ka klientidel teenuse arenduses unikaalne võimalus oma sõna sekka öelda. Kui tekib mõni hea idee, mida Telia Võrguseire juures muuta või lisada võiks, oleme valmis kuulama ja arendusettepanekuna töösse võtma. Teenuse arendus jätkub pidevalt ja koos saame sellest veelgi ägedama lahenduse teha, millest võidavad kõik teenuse kliendid.
Telia Võrguseire kohta saab lisainfot võttes ühendust Telia Ärikliendi kõnekeskusega telefonil 1551 või pöördudes kliendilahenduste müügijuhtide poole.
