监视加密网络流量的3种方法
|
广泛的收集流量加密阻碍深度包检测，但仍有要领可以检测并阻止许多进攻。
多年来安详专家一向在催促用户加密全部收集流量。他们的概念是：让安详设置成为默认设置是很明明的好步伐。实现加密的尺度和产物都已经很是成熟，没有来由不这么做! 然而，工作不完满是这样。但凡工程，总有各类利弊衡量，加密流量也不破例。个中一大破绽就是安详职员和监督体系也看不透你的收集流量了。你该怎样搜查收集流量以查找恶意措施和有题目的内容呢? 简朴粗暴地答复的话，谜底就是你没法用深度包检测找出进攻了。更认真任一点的话呢，你可以在执行加解密的终端上检测流量，从收集流量元数据中获悉各类信息，流量包头中的信息能汇报你数据包的源头和目标地。 思科《加密流量阐大白皮书》指出，2015年加密流量占比21%，2016年占比40%，一年时刻险些翻了一倍。因为微软Exchange之类企业产物趋于默认加密全部流量，企业内部流量加密的占比无疑在飞速晋升。 任何像样的主机或收集入侵检测体系(IDS/IPS)城市执行收集说明，在正当加密流量海洋中查找恶意流量。但深入相识器材运行机制和自身流量特征没什么弊端。微软Office数据文件中支持的应用级加密，恶意黑客用来偷渡数据的隐写术之类夹杂技能不是这篇文章接头的内容。本文要报告的，是你可以对协议级加密做些什么。 1. 行使收集非常检测器材 假如不能视察现实包内容，就得监督流量找出收集非常。那么，非常收集举动有哪些特性呢?想知道这一点，你得弄清晰正常举动的组成。好比说，凡是不互联的主机之间呈现的毗连，无论是内部主机互联，照旧内部主机与未知外部体系相连，都是值得猜疑的。 TCP/UDP端口的非正常行使也是值得监督的一种举动。可在Dave端口列表上查察知名端口和不那么知名的端口。不只仅长短正常端口的行使，还要看正常端口是否被非正常应用行使，好比为传输层安详(TLS)保存的443端口有没有效于传输明文流量。 这些使命过分噜苏，不得当人工处理赏罚，有许多安详产物都实行检测收集举动非常，包罗IBM的QRadar、Juniper Sky Advanced Threat Protection，乃至尚有开源的Snort IPS。第一流的产物，好比思科的 Encrypted Traffic Analytics，将监督与谍报处事集成，跟踪环球体系中的非常举动。 必要发掘流量检察细节的时辰，可以借助收集说明器材。Wireshark是最根基的，但Fiddler更合用于HTTP/HTTPS流量说明。Fiddler作者 Eric Lawrence 写的一篇文章叙述了奈何通过元数据及其他步伐搜查TLS流量。 另一个风趣的器材集是来自Salesforce的JA3和JA3S。该器材集可捕捉TLS毗连特性，袒暴露此类通讯及毗连行使方TLS实现的更多细节。 2. 行使SSL/TLS署理处事器 行使安详套接字层(SSL)/TLS署理处事器能很洪流平上令加密流量可检察。包罗加密通讯在内的全部通讯都要颠末署理处事器，署理处事器在一端接管加密毗连，解密流量，执行某些操纵，然后从头加密并发送流量到目标地点。署理处事器执行的操纵中就可以包括安详操纵，好比恶意软件扫描和阻止禁用站点。许多第三方安详产物都可以用作SSL/TLS署理。 此类署理处事器给已经很伟大的收集设置又添了一层伟大度。固然可以通过缓存加快流量，但也存在拖慢流量的也许性。2017年，美国疆域安详部(DHS)计较机应急相应小组(CERT)和谐中心曾发出一条警报，称许多此类产物未举办适当的证书验证，可能转发错误环境。许多安详专家，好比卡耐基梅隆大型的 Will Dormann，辩称SSL搜查反而会引入更多风险。 3. 筹备应对非TLS加密 收集包层级上的流量正当加密凡是由SSL/TLS实现。但你也许碰着其他加密协议。有些是正当的，有些则不该该呈此刻你的收集上。 个中最为迷糊其词的协议就是Secure Shell (SSH)。许多打点和开拓事变都通过SSH完成。题目在于，暴徒也会用SSH。你不行能全面禁用SSH，总得为特定收集段和特定用户放行SSH。以是，不切合合礼貌程的SSH流量必必要在检察范畴内。 假如行使Windows终端，那收集上就会呈现许多Windows终端处事器用的长途桌面协议(RDP)和Citrix处事器用的独立计较架构(ICA)。这些都是加密协议，凡是行使TLS，但也也许在差异的TCP端口上，揭示其他的差别。公司应设专人节制这些终端，具备检察其举动的手段。 更潜伏的是基于用户数据报协议(UDP)的快速UDP互联网毗连(QUIC)，这是TLS的低耽误版更换品。HTTP/3尺度纳入了QUIC，但其基于UDP的特征限定了其应用。举个例子，防火墙凡是全面阻止UDP入站。这还是相等前沿的题目，你也许基础看不到。 至于暗网所用的Tor，，由于回收多层嵌套加密，除非有特另外隐私需求，平凡用户完全有来由封禁。 TLS的甜头在于身份验证、加密和动静完备性，这是无能否定的。全部这些加密使一些正当的安详确践变得越发坚苦，但这点坚苦并不敷以让你的流量保持不加密状态裸奔。无论是通过元数据，照旧在终端搜查，依然有许多器材可以掩护你的用户和收集。
【本文是51CTO专栏作者“李少鹏”的原创文章，转载请通过安详牛（微信公家号id:gooann-sectv）获取授权】 戳这里，看该作者更多好文 【编辑保举】
点赞 0 （编辑：河北网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
