Sicherheits-Insights

Abbildung 1. Architektur von Security Insights

So funktioniert es

Als LiveWire-Add-on, das über die LiveNX-Benutzeroberfläche zugänglich ist, läuft Security Insights nativ in bestehenden LiveNX- und LiveWire-Umgebungen und wandelt Netzwerk-Observability in verwertbare Sicherheitsinformationen um. Unter Verwendung derselben Daten, die auch die Leistungsüberwachung unterstützen, ermöglicht es eine praxisorientierte Netzwerküberwachung, ohne dass zusätzliche Tools oder Komplexität erforderlich sind. Durch die Nutzung von Flow-Telemetrie aus LiveNX und Analysen auf Paketebene aus LiveWire korreliert Security Insights diese Erkenntnisse über alle Umgebungen hinweg – LAN, WAN, SD-WAN, Rechenzentrum und Cloud – und verschafft Teams so vollständige Transparenz darüber, wo und wie Bedrohungen entstehen.

LiveWire bietet umfassende forensische Transparenz durch die Erfassung und Analyse auf Paketebene am Netzwerkrand. Es erfasst nicht nur Nutzdaten – sowohl verschlüsselte als auch im Klartext vorliegende –, sondern identifiziert auch Muster und rekonstruiert Sitzungen. Dieser Prozess der Erfassung und Analyse wird als LiveFlow bezeichnet. Diese LiveFlow-Datensätze werden anschließend an LiveNX gesendet, das Anomalien durch die Aggregation und Anreicherung umfassender Telemetriedaten zum Netzwerkverkehr erkennt. Die Daten zum Datenverkehr werden in LiveNX aus NetFlow, IPFIX, sFlow sowie aus dem Hochgeschwindigkeits-Logging und dem Unified Logging von Cisco erfasst.

Das zentralisierte Dashboard von LiveNX zeigt diese erkannten Bedrohungen und Datenverkehrsanomalien dann an. Security Insights ist offen und standardbasiert, was eine Zuordnung zu den Frameworks des Open Worldwide Application Security Project (OWASP) und von MITRE ATT&CK sowie eine nahtlose Integration mit SIEM-, SOAR- und XDR-Tools für koordinierte Reaktionen ermöglicht. Wird eine erkannte Bedrohung zuerst in einem SIEM oder einer anderen Sicherheitslösung festgestellt, können Sicherheits- und Netzwerkteams LiveNX und LiveWire für eine eingehendere Untersuchung nutzen.

Sowohl LiveWire als auch LiveNX sind erforderliche Komponenten für Security Insights.

Anwendungsfälle

In diesem Abschnitt werden drei reale Erkennungsszenarien beschrieben, die die Vorteile der Nutzung von Security Insights veranschaulichen.

Anwendungsfall 1: Erkennung anomaler Transport Layer Security-Aktivitäten

MITRE ATT&CK-ID T1571 – Nicht standardmäßiger Port

Ein globales Logistikunternehmen verzeichnet unerwartete Spitzen im verschlüsselten Datenverkehr auf nicht standardmäßigen Ports. Security Insights erkennt dieses Muster automatisch als „Unerwartete Verschlüsselung auf einem von der IANA reservierten Port“ – ein deutlicher Hinweis auf böswillige Tunneling-Aktivitäten, die dazu dienen, Command-and-Control-Kommunikation (C2) zu verbergen.

Untersuchungsablauf:

1. Detection (Security Insights)
   • Erkennt verschlüsselten Datenverkehr auf Port 8088, der normalerweise nicht für sichere Kommunikation verwendet wird.
   • Ordnet die Erkennung dem MITRE-Code T1571 zu und kennzeichnet das Ereignis.
   • Es gleicht die Ergebnisse mit bekannten, von der IANA reservierten Ports ab, um die Validierung sicherzustellen, und benachrichtigt automatisch das Sicherheitsteam.
2. Analysis (LiveNX)
   • Visualisiert betroffene Subnetze und identifiziert Systeme, die den anomalen Datenverkehr erzeugen.
   • Korreliert Datenflussdatensätze über WAN- und SD-WAN-Verbindungen hinweg und bestätigt, dass das Muster auf ein einzelnes IoT-Gateway beschränkt ist.
   • Erkennt wiederkehrende Kommunikationsintervalle – ein Kennzeichen für Beaconing.
3. Forensics (LiveWire)
   • Erfasst und analysiert Pakete, um verschlüsselte Nutzdaten zu bestätigen.
4. Response
   • Das Sicherheitsteam isoliert das IoT-Gateway und blockiert den gesamten ausgehenden Datenverkehr auf nicht autorisierten Ports.
   • Forensische Daten werden zur Validierung nach einem Vorfall und zur Erstellung von Compliance-Berichten in das SIEM exportiert.

Ergebnis: Durch die frühzeitige Erkennung wurde verhindert, dass Malware eine C2-Persistenz aufbaute, die Erkennungszeit von Stunden auf Minuten verkürzt und die Transparenz in Bezug auf verschlüsselten Datenverkehr ohne Entschlüsselungsaufwand verbessert.

Abbildung 2. Dashboard mit der Zusammenfassung der Security Insights und Detailansicht in LiveNX

Anwendungsfall 2: Proaktive Bedrohungssuche mithilfe von Threat-Intelligence-Indikatoren

MITRE ATT&CK-ID: T1102 – Webdienst

Der Threat-Intelligence-Feed eines Finanzinstituts meldet verdächtige Domains, die mit einer aktuellen C2-Infrastruktur-Kampagne in Verbindung stehen. Mithilfe von Security Insights durchsucht das Sicherheitsteam proaktiv sein hybrides Netzwerk nach Hinweisen auf Kontakte zu diesen Domains.

Untersuchungsablauf:

1. Detection (Security Insights)
   • Importiert Indikatoren für Kompromittierungen aus einem externen Feed und ordnet sie dem MITRE-Standard T1102 zu.
   • Führt eine netzwerkweite Korrelation mithilfe von Flow-Telemetrie durch, um ausgehende Kommunikation zu verdächtigen Domains zu identifizieren.
   • Markiert mehrere Endpunkte, die Kontakt zur Domain app-sync-storage[.]net aufnehmen, die als potenzieller C2-Webdienst eingestuft wird.
2. Analysis (LiveNX)
   • Analysten nutzen LiveNX, um die Kommunikationshäufigkeit und -dauer nach Endpunkt zu visualisieren.
   • Korreliert DNS-Abfragen und Flow-Datensätze, um wiederholte Zugriffe aus einem einzelnen Subnetz innerhalb des F&E-Netzwerks zu bestätigen.
   • Erkennt ungewöhnliche Muster bei der Datengröße, die auf eine Datenexfiltration über HTTPS hindeuten.
3. Forensics (LiveWire)
   • Führt eine Paketerfassung für die markierten Hosts durch, um das Verhalten der Nutzdaten zu bestätigen.
   • Identifiziert POST-Anfragen, die Base64-kodierte Daten an die verdächtige Domain enthalten.
   • Extrahiert die Nutzlast für die Sandbox-Analyse, um eine böswillige Exfiltration zu bestätigen.
4. Response
   • Sendet Daten an das SOAR, um die kompromittierten Domains und die zugehörigen IP-Bereiche automatisch zu blockieren.

Ergebnis: Die verdeckte C2-Kommunikation wurde gestoppt, bevor erhebliche geschäftliche Verluste entstanden sind.

Anwendungsfall 3: Forensische Untersuchung eines Angriffs durch Missbrauch von TLS-Zertifikaten

MITRE ATT&CK-ID: T1587.003 – Digitale Zertifikate

Ein großer Gesundheitsdienstleister stellt in seinen Rechenzentren ein ungewöhnliches Verhalten von SSL-Zertifikaten fest. Security Insights meldet mehrere selbstsignierte TLS-Zertifikate, die im ausgehenden Datenverkehr verwendet werden – ein mögliches Anzeichen dafür, dass Malware gefälschte Zertifikate nutzt, um Überwachungskontrollen zu umgehen.

Untersuchungsablauf:

1. Detection (Security Insights)
   • Erkennt mehrere selbstsignierte und nicht vertrauenswürdige TLS-Zertifikate, die bei internen ausgehenden Verbindungen verwendet werden.
   • Die Erkennung wird MITRE T1587.003 zugeordnet und als „Ungewöhnliche Zertifikatsaktivität“ klassifiziert.
2. Analysis (LiveNX)
   • Analysten nutzen die Flussvisualisierung, um den von betroffenen Systemen stammenden Datenverkehr zu isolieren.
   • Erkennt sich wiederholende, kurzlebige TLS-Sitzungen von einem IoT-Subnetz für medizinische Geräte zu einer externen IP-Adresse.
   • Erkennt ungewöhnliche TLS-Handshake-Intervalle und Verschlüsselungs-Inkompatibilitäten.
3. Forensics (LiveWire)
   • Erfasst Pakete für eine umfassende forensische Analyse.
   • Bestätigt, dass ausgehende Verbindungen verschlüsselte Befehle enthalten, die in TLS-Nutzdaten versteckt sind.
   • Weist auf die Verwendung selbstsignierter Zertifikate hin, die von der Malware generiert wurden, um Persistenz zu gewährleisten.
4. Response
   • Integriert die Ergebnisse in das SIEM und SOAR für die automatisierte Zertifikatssperrung und Alarmierung.

Abbildung 3. Dashboard für einzelne Paketdaten in „Security Insights“, das für eine forensische Suche verwendet wird

Ergebnis: Verhinderung der C2-Persistenz durch gefälschte TLS-Zertifikate, Verbesserung der Compliance und Audit-Bereitschaft durch die Aufbewahrung von Beweismaterial auf Paketebene sowie Stärkung der Zertifikatsverwaltung im gesamten Unternehmen.