Виявлення аномалій у мережевій поведінці англ Network behavior anomaly detection NBAD підхід до виявлення загроз мережев

Виявлення аномалій у мережевій поведінці (англ. Network behavior anomaly detection, NBAD) — підхід до виявлення загроз мережевій безпеці. Є одним з підходів до побудови мережевих систем виявлення вторгнень. Доповнює технологію систем що виявляють атаки на основі сигнатур пакетів. Також використовується антивірусним програмним забезпеченням та антишпигунським програмним забезпеченням.

Під час виявлення аномалій у мережевій поведінці проводиться безперервний моніторинг мережі на наявність незвичних подій або тенденцій.

Опис

Системи, які використовують виявлення аномалій у мережевій поведінці, можуть бути корисними у виявленні загроз, там де сигнатурний аналіз не може дати результатів, а саме:

при загрозах нульового дня;
коли трафік зашифрований, як-то передача даних на командний сервер у ботнетах.

Система відслідковує критичні характеристики мережі у реальному часі і формує сигнал тривоги при виявленні дивної події, яка може свідчити про наявність загрози. Приклади таких характеристик включають обсяг трафіку, використання смуги пропускання та використання протоколів.

Системи виявлення аномалій у мережевій поведінці також відслідковують поведінку окремих вузлів мережі. Зазвичай системи виявлення аномалій у мережевій поведінці є ефективними, якщо нормальна поведінка у мережі є сталою протягом довгого часу. Тоді деякі параметри визнаються нормальними, тоді як усі відхилення — аномалією.

Системи виявлення аномалій у мережевій поведінці повинні використовуватись разом зі звичайними мережевими екранами та застосунками для виявлення шкідливих програм. Деякі виробники визнають, що системи виявлення аномалій у мережевій поведінці є частиною їх рішень з мережевої безпеки.

Системи виявлення аномалій у мережевій поведінці використовують аналіз журналів реєстрації подій, аналіз пакетів, моніторинг мережевих потоків та аналіз маршрутів.

Порівняння

Переваги

До переваг підходу виявлення аномалій у мережевій поведінці у порівнянні з сигнатурним аналізом відносяться:

можливість виявлення раніше невідомих загроз (загроз нульового дня);
відсутність необхідності підтримувати сигнатури у актуальному стані.

Недоліки

До недоліків підходу виявлення аномалій у мережевій поведінці у порівнянні з сигнатурним аналізом відносяться:

наявність хибно позитивних спрацьовувань при певних нестандартних, але допустимих ситуаціях (наприклад зростання трафіку у при підготовці річного звіту);
у окремих випадках необхідність «навчання» для створення шаблонів нормальної поведінки у мережі.

Комерційні продукти

— Allot Communications DDoS Protection
NSI — Arbor Network Security Intelligence
— StealthWatch (з 2001)
IBM — QRadar (з 2003)
— Enterasys Dragon
— вбудовний (Application Performance Score (APS), Application Performance Metric (APM), SLA, та Adaptive Response)
- — Flowmon ADS
FlowNBA — NetFlow
— STRM
McAfee — McAfee Network Threat Behavior Analysis
PacketSled — PacketSled
— PathSolutions VoIP and Network Performance Manager
— Scrutinizer
— Network Immunity Manager
Redsocks — The RedSocks Probe
— Riverbed Cascade
— SmartFlow
Sourcefire — Sourcefire 3D
Symantec — Symantec Advanced Threat Protection
— ThreatSecure Network
— Mendel (колишній Threat Intelligence)
— ManageEngine NetFlow Analyzer's Advanced Security Analytics Module
Microsoft — Windows Defender ATP та Advanced Threat Analytics

Примітки

(PDF). Архів оригіналу (PDF) за 10 червня 2014. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()
. Архів оригіналу за 4 серпня 2013. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()
. Архів оригіналу за 1 грудня 2017. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()
. Архів оригіналу за 29 серпня 2015. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()
. Архів оригіналу за 7 лютого 2018. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()
. www.greycortex.com. Архів оригіналу за 9 квітня 2018. Процитовано 29 червня 2016.

Див. також

Посилання

Network Event Detection With Entropy Measures [ 13 квітня 2016 у Wayback Machine.], Dr. Raimund Eimann, University of Auckland, PDF; 5993 kB
Flowmon Networks — Network Behavior Analysis & Anomaly Detection [ 16 вересня 2018 у Wayback Machine.]

[1] (PDF). Архів оригіналу (PDF) за 10 червня 2014. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()

[2] . Архів оригіналу за 4 серпня 2013. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()

[3] . Архів оригіналу за 1 грудня 2017. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()

[4] . Архів оригіналу за 29 серпня 2015. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()

[5] . Архів оригіналу за 7 лютого 2018. Процитовано 9 квітня 2018.{{}}: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title ()

[6] . www.greycortex.com. Архів оригіналу за 9 квітня 2018. Процитовано 29 червня 2016.