home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

ข้อความใดอธิบายข้อมูลสถิติในกระบวนการตรวจสอบความปลอดภัยเครือข่าย

ข้อมูลสถิติ (Statistical Data) ใน Network Security Monitoring (NSM) คืออะไร

คือข้อมูลเชิงปริมาณที่รวบรวมจากการตรวจสอบเครือข่าย เพื่อวิเคราะห์รูปแบบ พฤติกรรม และความผิดปกติ (Anomalies) ไม่ใช่เนื้อหาแพ็กเก็ต (Payload) แต่เป็น Metadata และสถิติรวม

การใช้ข้อมูลสถิติใน NSM

  • Baseline Normal Behavior: สร้างโปรไฟล์กิจกรรมปกติของ Host, User, Application, Protocol
  • Anomaly Detection: ตรวจจับการเบี่ยงเบนจาก Baseline (Volume, Frequency, Timing, Connection Patterns)
  • Traffic Distribution Analysis: วิเคราะห์การกระจายของ Traffic ระหว่าง Network Segments, Protocols, Ports, Countries
  • Protocol/Application Composition: สัดส่วน Protocol (HTTP, DNS, TLS, SMB, Database), Application Layer
  • Host Communication Patterns: ใครคุยกับใคร บ่อยแค่ไหน ส่งข้อมูลเท่าไหร่

NetFlow / IPFIX ใน NSM

  • NetFlow ไม่จับ Payload (Data Content) แต่เก็บ Flow Metadata: Source/Dest IP, Port, Protocol, Packets, Bytes, Start/End Time, ToS, TCP Flags, Interface
  • ใช้สำหรับ: Traffic Accounting, Capacity Planning, Security Monitoring (DDoS, Scanning, C2 Beaconing, Data Exfiltration)
  • Cisco NetFlow ให้: Network Traffic Accounting, Usage-based Billing, Network Planning, Security Monitoring, DoS Monitoring

Advanced Analytic Approaches สำหรับ Network Telemetry

  1. Network Behavior Analysis (NBA): วิเคราะห์พฤติกรรมเครือข่ายโดยรวม (Baseline + Anomaly)
  2. Network Behavior Anomaly Detection (NBAD): โฟกัสตรวจจับ Anomaly จาก Baseline โดยเฉพาะ

ทั้งคู่ใช้ NetFlow/IPFIX Telemetry Data

Windows Security Log Events

  • Event ID 4624: Logon Success
  • Event ID 4625: Logon Failure
  • Event ID 4663: File/Object Access
  • Event ID 4688: Process Creation
  • Event ID 5156: Filtering Platform Connection
  • Information Event Type: บันทึกเมื่อ Application/Driver/Service ทำงานสำเร็จ

ELSA (Enterprise Log Search and Archive)

  • Enterprise-level Log Search/Archive สำหรับ NSM Data
  • ใช้ Sphinx Search สำหรับ Indexing
  • รับ Log ผ่าน Syslog-NG เก็บใน MySQL
  • เชื่อมต่อกับ Sguil สำหรับ Alert Investigation (Pivot from Alert to ELSA Search)

NAT/PAT ทำให้ NSM ยากอย่างไร (กับ NetFlow)

  • เปลี่ยน Source/Destination IP และ Port ทำให้ติดตาม Host จริงได้ยาก
  • Payload ถูกเข้ารหัส (TLS/SSL) ไม่เห็นเนื้อหา
  • Port Manipulation: แพ็กเก็ตหลอกลวง Port ทำให้ Application Identification ผิด

IPv6 Extension Headers

IPv6 攜带 Optional Network Layer Information ใน Extension Headers (Hop-by-Hop, Routing, Fragment, Destination Options, Authentication, Encapsulating Security Payload) อยู่ระหว่าง Main Header กับ Payload

Alert Classification

  • True Positive: Alert ตรวจจับ Exploit จริง (Signature Triggered + Offending Traffic Detected)
  • False Positive, False Negative, True Negative

Email Protocol ระหว่าง Mail Server ข้าม Domain

SMTP (Simple Mail Transfer Protocol) ใช้ส่งอีเมลระหว่าง Mail Server (MTA) ข้าม Domain

สรุป: Statistical Data ใน NSM คือ Flow Metadata (NetFlow/IPFIX) และสถิติรวม ใช้สำหรับ Baseline, Anomaly Detection, Traffic Analysis โดย NBA และ NBAD เป็นวิธีการวิเคราะห์หลัก