Security Insights

Abbildung 1. Architektur von Security Insights

So funktioniert es

Als LiveWire-Add-on, das über die LiveNX-Benutzeroberfläche zugänglich ist, läuft Security Insights nativ in bestehenden LiveNX- und LiveWire-Umgebungen und wandelt Netzwerktransparenz in verwertbare Sicherheitsinformationen um. Unter Verwendung derselben Daten, die auch die Leistungsüberwachung unterstützen, ermöglicht es eine praxisorientierte Netzwerkerkennung, ohne dass zusätzliche Tools oder Komplexität erforderlich sind. Durch die Nutzung der Flow-Telemetrie von LiveNX und der Analyse auf Paketebene von LiveWire korreliert Security Insights diese Erkenntnisse über alle Umgebungen hinweg – LAN, WAN, SD-WAN, Rechenzentrum und Cloud – und verschafft den Teams so vollständige Transparenz darüber, wo und wie Bedrohungen entstehen.

LiveWire bietet umfassende forensische Transparenz durch die Erfassung und Analyse auf Paketebene am Netzwerkrand. Es erfasst nicht nur Nutzdaten – sowohl verschlüsselte als auch im Klartext vorliegende –, sondern identifiziert auch Muster und rekonstruiert Sitzungen. Dieser Prozess der Erfassung und Analyse wird als LiveFlow bezeichnet. Diese LiveFlow-Datensätze werden anschließend an LiveNX gesendet, wo Anomalien durch die Aggregation und Anreicherung umfassender Telemetriedaten zum Netzwerkverkehr erkannt werden. Die Daten zum Datenverkehr werden in LiveNX aus NetFlow, IPFIX, sFlow sowie dem Cisco High-Speed-Logging und Unified Logging erfasst.

Das zentralisierte Dashboard von LiveNX zeigt diese erkannten Bedrohungen und Datenverkehrsanomalien dann an. Security Insights ist offen und standardbasiert, was eine Zuordnung zu den Frameworks des Open Worldwide Application Security Project (OWASP) und von MITRE ATT&CK sowie eine nahtlose Integration mit SIEM-, SOAR- und XDR-Tools für eine koordinierte Reaktion ermöglicht. Wird eine erkannte Bedrohung zuerst in einem SIEM oder einer anderen Sicherheitslösung entdeckt, können Sicherheits- und Netzwerkteams LiveNX und LiveWire für eine eingehendere Untersuchung nutzen.

Sowohl LiveWire als auch LiveNX sind erforderliche Komponenten für Security Insights.

Anwendungsfälle

In diesem Abschnitt werden drei reale Erkennungsszenarien beschrieben, die die Vorteile des Einsatzes von Security Insights veranschaulichen.

Anwendungsfall 1: Erkennung anomaler Transport Layer Security-Aktivitäten

MITRE ATT&CK-ID T1571 – Nicht standardmäßiger Port

Ein globales Logistikunternehmen verzeichnet unerwartete Spitzen im verschlüsselten Datenverkehr auf nicht standardmäßigen Ports. Security Insights erkennt dieses Muster automatisch als „Unerwartete Verschlüsselung auf einem von der IANA reservierten Port“ – ein deutlicher Hinweis auf böswillige Tunneling-Aktivitäten, die dazu dienen, Command-and-Control-Kommunikation (C2) zu verbergen.

Untersuchungs-Workflow:

1. Detection (Security Insights)
   • Erkennt verschlüsselten Datenverkehr auf Port 8088, der normalerweise nicht für sichere Kommunikation verwendet wird.
   • Ordnet die Erkennung dem MITRE-Standard T1571 zu und kennzeichnet das Ereignis.
   • vergleicht die Daten mit bekannten, von der IANA reservierten Ports zur Validierung und benachrichtigt automatisch das Sicherheitsteam.
2. Analysis (LiveNX)
   • Visualisiert betroffene Subnetze und identifiziert Systeme, die den anomalen Datenverkehr erzeugen.
   • Korreliert Flussdatensätze über WAN- und SD-WAN-Verbindungen hinweg und bestätigt, dass das Muster auf ein einzelnes IoT-Gateway beschränkt ist.
   • Erkennt wiederkehrende Kommunikationsintervalle – ein Kennzeichen für Beaconing.
3. Forensics (LiveWire)
   • Erfasst und analysiert Pakete, um verschlüsselte Nutzdaten zu überprüfen.
4. Response
   • Das Sicherheitsteam isoliert das IoT-Gateway und blockiert den gesamten ausgehenden Datenverkehr auf nicht autorisierten Ports.
   • Forensische Daten werden zur Validierung nach einem Vorfall und zur Erstellung von Compliance-Berichten in das SIEM exportiert.

Ergebnis: Durch die frühzeitige Erkennung wurde verhindert, dass Malware eine C2-Persistenz aufbaute; die Erkennungszeit wurde von Stunden auf Minuten verkürzt und die Transparenz in Bezug auf verschlüsselten Datenverkehr ohne Entschlüsselungsaufwand verbessert.

Abbildung 2. Übersichts-Dashboard und Detailansicht von Security Insights in LiveNX

Anwendungsfall 2: Proaktive Bedrohungssuche mithilfe von Bedrohungsindikatoren

MITRE ATT&CK-ID: T1102 – Webdienst

Der Bedrohungsinformations-Feed eines Finanzinstituts meldet verdächtige Domains, die mit einer aktuellen C2-Infrastruktur-Kampagne in Verbindung stehen. Mithilfe von Security Insights sucht das Sicherheitsteam proaktiv in seinem hybriden Netzwerk nach Hinweisen auf Kontakte zu diesen Domains.

Untersuchungsworkflow:

1. Detection (Security Insights)
   • Importiert Indikatoren für Kompromittierungen aus einem externen Feed und ordnet sie dem MITRE T1102 zu.
   • Führt eine netzwerkweite Korrelation mithilfe von Flow-Telemetrie durch, um ausgehende Kommunikation mit verdächtigen Domänen zu identifizieren.
   • Markiert mehrere Endpunkte, die Kontakt zur Domain app-sync-storage[.]net aufnehmen, die als potenzieller C2-Webdienst eingestuft wird.
2. Analysis (LiveNX)
   • Analysten nutzen LiveNX, um die Kommunikationshäufigkeit und -dauer pro Endpunkt zu visualisieren.
   • Korreliert DNS-Abfragen und Flow-Datensätze, um wiederholte Kontakte aus einem einzelnen Subnetz innerhalb des F&E-Netzwerks zu bestätigen.
   • Erkennt ungewöhnliche Muster bei der Datengröße, die auf eine Datenexfiltration über HTTPS hindeuten.
3. Forensics (LiveWire)
   • Führt eine Paketerfassung für die markierten Hosts durch, um das Verhalten der Nutzdaten zu bestätigen.
   • Identifiziert POST-Anfragen, die Base64-kodierte Daten an die verdächtige Domain enthalten.
   • Extrahiert die Nutzlast für die Sandbox-Analyse, um eine böswillige Datenexfiltration zu bestätigen.
4. Response
   • Sendet Daten an das SOAR, um die kompromittierten Domains und die zugehörigen IP-Bereiche automatisch zu sperren.

Ergebnis: Verdeckte C2-Kommunikation wurde gestoppt, bevor erhebliche geschäftliche Verluste entstanden.

Anwendungsfall 3: Forensische Untersuchung eines Angriffs durch Missbrauch von TLS-Zertifikaten

MITRE ATT&CK-ID: T1587.003 – Digitale Zertifikate

Ein großer Gesundheitsdienstleister stellt in seinen Rechenzentren ein ungewöhnliches Verhalten bei SSL-Zertifikaten fest. Security Insights meldet mehrere selbstsignierte TLS-Zertifikate, die im ausgehenden Datenverkehr verwendet werden – ein mögliches Anzeichen dafür, dass Malware gefälschte Zertifikate nutzt, um Kontrollmechanismen zu umgehen.

Untersuchungsworkflow:

1. Detection (Security Insights)
   • Identifiziert mehrere selbstsignierte und nicht vertrauenswürdige TLS-Zertifikate, die bei internen ausgehenden Verbindungen verwendet werden.
   • Ordnet die Erkennung MITRE T1587.003 zu und klassifiziert sie als „Ungewöhnliche Zertifikatsaktivität“.
2. Analysis (LiveNX)
   • Analysten nutzen die Flussvisualisierung, um den von betroffenen Systemen stammenden Datenverkehr zu isolieren.
   • Erkennt wiederkehrende, kurzlebige TLS-Sitzungen von einem IoT-Subnetz für medizinische Geräte zu einer externen IP-Adresse.
   • Erkennt ungewöhnliche TLS-Handshake-Intervalle und Unstimmigkeiten bei den Verschlüsselungsalgorithmen.
3. Forensics (LiveWire)
   • Erfasst Pakete für eine umfassende forensische Analyse.
   • Stellt fest, ob ausgehende Verbindungen verschlüsselte Befehle enthalten, die in TLS-Nutzdaten versteckt sind.
   • Identifiziert die Verwendung selbstsignierter Zertifikate, die von der Malware generiert wurden, um Persistenz zu gewährleisten.
4. Response
   • Integriert Ergebnisse in das SIEM und SOAR für automatisierte Zertifikatssperrung und Alarmierung.

Abbildung 3. Dashboard für einzelne Paketdaten in Security Insights, das für eine forensische Suche verwendet wird

Ergebnis: Verhinderung der C2-Persistenz durch gefälschte TLS-Zertifikate, verbesserte Compliance und Audit-Bereitschaft durch die Aufbewahrung von Beweismaterial auf Paketebene sowie eine gestärkte Zertifikatsverwaltung im gesamten Unternehmen.