حركة الشبكة قد تكشف المهاجم المختبئ.. تعلم قراءة ما لا تراه العين!
تساعد مراقبة أمن الشبكات (Network Security Monitoring) محلل SOC على اكتشاف الأنشطة المشبوهة من خلال دراسة الاتصالات التي تحدث بين الأجهزة والخوادم والأنظمة الخارجية.
ولا يقتصر الأمر على معرفة الأجهزة المتصلة بالشبكة، بل يشمل تحليل طبيعة الاتصالات وتوقيتها وحجم البيانات المتبادلة والأنماط المتكررة.
هناك أدوات مهمة يجب التعرف عليها:
1. لتحليل حركة الشبكة واكتشاف التهديدات باستخدام قواعد محددة.
2. Zeek: أداة تساعد على تحويل حركة الشبكة إلى سجلات منظمة يمكن تحليلها لمعرفة تفاصيل الاتصالات والبروتوكولات.
3. Wireshark: يستخدم لفحص الحزم بصورة تفصيلية والتحقيق في الاتصالات المشبوهة.
ومن المهارات المهمة تحليل ملفات PCAP، التي تحتوي على بيانات حركة الشبكة الملتقطة، وكذلك فهم NetFlow الذي يوفر معلومات مختصرة عن تدفقات الاتصالات، مثل المصدر والوجهة والحجم والتوقيت.
ويجب على المحلل التعرف على ثلاثة أنماط خطيرة:
- Command and Control (C2): اتصال الجهاز المصاب بخادم يتحكم فيه المهاجم.
- Beaconing: اتصالات متكررة ومنتظمة برنامج خبيث يتواصل مع جهة خارجية.
- Data Exfiltration: نقل البيانات الحساسة إلى خارج المؤسسة دون تصريح.
مثال عملي: كمية صغيرة من البيانات إلى عنوان خارجي كل خمس دقائق، فمن المهم فحص انتظام الاتصالات، وهوية الوجهة، والبرنامج المسؤول عنها، ومقارنتها بالسلوك الطبيعي للجهاز.
لكن يجب الانتباه إلى أن الاتصالات المتكررة ليست دليلًا قاطعًا على الاختراق؛ فقد تنتج عن خدمات شرعية تعمل في الخلفية.
نصيحة: ابدأ بملفات PCAP تدريبية، وتعلم استخراج معلومات DNS وHTTP وTCP، ثم انتقل إلى تحليل سجلات Zeek وقواعد Suricata.
المصادر:
Suricata Documentation: docs.suricata.io
Zeek Documentation: docs.zeek.org
Wireshark Documentation: wireshark.org
18 مشاهدة