Обнаружение аномалий поведения сети - Network behavior anomaly detection

Обнаружение аномалий поведения сети (NBAD) предоставляет один подход к сетевая безопасность обнаружение угрозы. Это дополнительная технология к системам, обнаруживающим угрозы безопасности на основе подписи пакетов.

NBAD - это постоянный мониторинг сети на предмет необычных событий или тенденций. NBAD является неотъемлемой частью анализ сетевого поведения (NBA), который предлагает безопасность в дополнение к той, которая обеспечивается традиционными приложениями для защиты от угроз, такими как межсетевые экраны, системы обнаружения вторжений, антивирусное программное обеспечение и шпионское ПО -обнаружение программного обеспечения.

Описание

Большинство систем мониторинга безопасности используют подход на основе сигнатур для обнаружения угроз. Обычно они отслеживают пакеты в сети и ищут шаблоны в пакетах, которые соответствуют их базе данных сигнатур, представляющих заранее идентифицированные известные угрозы безопасности. Системы на основе NBAD особенно полезны при обнаружении векторов угроз безопасности в двух случаях, когда системы на основе сигнатур не могут: (i) новые атаки нулевого дня и (ii) когда трафик угроз зашифрован, например, канал управления и контроля для определенных Ботнеты.

Программа NBAD отслеживает критические характеристики сети в режиме реального времени и генерирует сигнал тревоги, если обнаруживается странное событие или тенденция, которые могут указывать на наличие угрозы. Крупномасштабные примеры таких характеристик включают объем трафика, использование полосы пропускания и использование протокола.[1]

Решения NBAD также могут отслеживать поведение отдельных абонентов сети. Чтобы NBAD был оптимально эффективным, необходимо установить базовый уровень нормального поведения сети или пользователя в течение определенного периода времени. Как только определенные параметры определены как нормальные, любое отклонение от одного или нескольких из них помечается как аномальное.

NBAD следует использовать в дополнение к обычным брандмауэры и приложения для обнаружения вредоносное ПО. Некоторые поставщики начали признавать этот факт, включив программы NBA / NBAD как неотъемлемую часть своих пакетов сетевой безопасности.

Технология / методы NBAD применяются в ряде областей мониторинга сети и безопасности, включая: (i) Анализ журнала (ii) системы проверки пакетов (iii) системы мониторинга потока и (iv) Аналитика маршрута.

Обнаружение популярных угроз в NBAD

  • Обнаружение аномалий полезной нагрузки
  • Аномалия протокола: MAC Спуфинг
  • Аномалия протокола: подмена IP-адреса
  • Аномалия протокола: TCP /UDP Fanout
  • Аномалия протокола: IP Fanout
  • Аномалия протокола: дублирующийся IP
  • Аномалия протокола: дублирующийся MAC
  • Обнаружение вирусов
  • Обнаружение аномалий пропускной способности
  • Обнаружение скорости подключения

Коммерческие продукты

Смотрите также

Рекомендации

  1. ^ «Начальный этап непрерывного обзора: системы анализа поведения сети». 5 апреля 2008 г.
  2. ^ «Программное обеспечение для защиты от DDoS-атак: защитите свою сеть».
  3. ^ "Arbor DDoS Solutions - NETSCOUT". NETSCOUT.
  4. ^ https://www.flowmon.com/en/products/flowmon/anomaly-detection-system
  5. ^ «GreyCortex | Расширенный анализ сетевого трафика». www.greycortex.com. Получено 2016-06-29.

внешняя ссылка