搜索

[14154] 2019-05-26_如何检测TLSbeaconing

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-05-26_如何检测TLSbeaconing 如 何 检 测 T L S   b e a c o n i n g A v e n g e r   F r e e B u f   2 0 1 9 - 0 5 - 2 6 e e - o u t l i e r s   是 用 于 检 测 存 储 在 是 用 于 检 测 存 储 在   E l a s t i c s e a r c h   中 的 事 件 的 异 常 值 的 工 具 ， 这 篇 文 章 中 将 展 示 如 何 使 用 中 的 事 件 的 异 常 值 的 工 具 ， 这 篇 文 章 中 将 展 示 如 何 使 用   e e - o u t l i e r s   检 测 存 储 在 检 测 存 储 在   E l a s t i c s e a r c h   中 的 安 全 事 件 中 的 中 的 安 全 事 件 中 的   T L S   b e a c o n i n g   连 接 。 连 接 。 B e a c o n i n g   连 接 是 定 期 发 起 的 连 接 ， 可 能 表 示 计 算 机 已 经 被 感 染 在 进 行 控 制 通 信 ， 例 如 从 连 接 是 定 期 发 起 的 连 接 ， 可 能 表 示 计 算 机 已 经 被 感 染 在 进 行 控 制 通 信 ， 例 如 从   C & C   服 务 器 中 获 取 指 令 或 者 静 默 地 在 网 络 中 外 传 数 据 。 服 务 器 中 获 取 指 令 或 者 静 默 地 在 网 络 中 外 传 数 据 。 预 备 预 备   e e - o u t l i e r s e e - o u t l i e r s   完 全 在   D o c k e r   上 运 行 ， 因 此 对 环 境 的 要 求 接 近 于 零 。 唯 一 的 要 求 是 对   D o c k e r   和   E l a s t i c s e a r c h   集 群 的 连 接 配 置 ， 使 其 可 以 访 问 数 据 。 该 项 目 的   G i t H u b   的 R E A D M E 页 面 已 经 包 含 了 所 有 细 节 ， 无 需 赘 述 。 创 建 配 置 文 件 创 建 配 置 文 件 G i t H u b   上   e e - o u t l i e r s   的 默 认 配 置 文 件 中 包 含 了 所 需 要 的 所 有 配 置 选 项 。 首 先 修 改     部 分 中 的 参 数 ， 确 保   e e - o u t l i e r s   可 以 连 接 到   E l a s t i c s e a r c h   集 群 。 使 用 时 可 以 保 留 所 有 默 认 值 ， 包 括   。 将 参 数     设 置 为   1 ， 就 可 以 直 接 在 命 令 行 输 出 中 看 到 检 出 的 异 常 值 ， 这 便 于 进 一 步 调 试 。 接 下 来 增 加 一 部 分 新 配 置 ， 用 于 定 义 统 计   T L S   b e a c o n i n g   的 检 测 模 型 ， 此 用 例 已 在 示 例 配 置 文 件 中 定 义 过 了 ， 如 下 所 示 ： 让 我 们 逐 行 解 释 一 下 ， 方 括 号 之 间 的 部 分 是 要 运 行 的 模 型 名 ， 名 字 都 以     为 开 头 ， 这 样   e e - o u t l i e r s   就 知 道 应 用 统 计   b e a c o n i n g   检 测 模 型 了 。 模 型 将 为 每 个 单 独 的   a g g r e g a t o r   字 段 计 算 目 标 字 段 的 所 有 唯 一 实 例 。 在 这 个 特 定 场 景 下 ， 这 意 味 着   e e - o u t l i e r s   为 一 天 中 的 每 小 时 都 创 建   （ 前 文 创 建 的 派 生 字 段 之 一 — — ） ， 并 用   a g g r e g a t o r   的 每 个 唯 一 实 例 组 合 填 充 这 些   。 例 如 ， 假 设 集 群 中 关 于 域 名     的   T L S   连 接 事 件 每 小 时 大 约 出 现   5   次 ， 都 是 针 对 特 定 源   I P   地 址 （ 1 9 2 . 1 6 8 . 0 . 2 ） 和 特 定 的 日 期 （ 1 9 / 1 2 ） 的 。 然 后   e e - o u t l i e r s   将 会 创 建 下 列     来 发 现 异 常 值 ： g e n e r a l b e a c o n i n g _ b a t c h _ e v a l _ s i z e [ b e a c o n i n g ] #   在 查 找 异 常 值 前 ， 需 要 同 时 定 义 处 理 多 少 事 件 #   事 件 数 量 的 增 多 通 常 意 味 着 会 有 更 好 的 结 果 ， 但 会 导 致 内 存 使 用 量 增 加 b e a c o n i n g _ b a t c h _ e v a l _ s i z e = 1 0 0 0 0 0 0 p r i n t _ o u t l i e r s _ t o _ c o n s o l e # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #   D E R I V E D   F I E L D S # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # [ d e r i v e d f i e l d s ] t i m e s t a m p = % { Y E A R : t i m e s t a m p _ y e a r } - % { M O N T H N U M : t i m e s t a m p _ m o n t h } - % { M O N T H D A Y : t i m e s t a m p _ d a y } [ T   ] % { H O U R : t i m e s t a m p _ h o u r } : ? % { M I N U T E : t i m e s t a m p _ m i n u t e } ( ? : : ? % { S E C O N D : t i m e s t a m p _ s e c o n d } ) ? % { I S O 8 6 0 1 _ T I M E Z O N E : t i m e s t a m p _ t i m e z o n e } # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # #   B E A C O N I N G   -   D E T E C T   O U T B O U N D   S S L   B E A C O N I N G   -   T L S # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # [ b e a c o n i n g _ s s l _ o u t b o u n d ] e s _ q u e r y _ f i l t e r = B r o F i l t e r . e v e n t _ t y p e : " s s l . l o g "   A N D   _ e x i s t s _ : B r o F i l t e r . s e r v e r _ n a m e a g g r e g a t o r = B r o F i l t e r . s e r v e r _ n a m e , B r o F i l t e r . i d _ o r i g _ h , t i m e s t a m p _ d a y t a r g e t = t i m e s t a m p _ h o u r t r i g g e r _ s e n s i t i v i t y = 1 o u t l i e r _ t y p e = s u s p i c i o u s   c o n n e c t i o n o u t l i e r _ r e a s o n = b e a c o n i n g   T L S   c o n n e c t i o n o u t l i e r _ s u m m a r y = b e a c o n i n g   T L S   c o n n e c t i o n   t o   { B r o F i l t e r . s e r v e r _ n a m e } r u n _ m o d e l = 1 t e s t _ m o d e l = 0 b e a c o n i n g _ [ b e a c o n i n g _ s s l _ o u t b o u n d ] b u c k e t s t i m e s t a m p _ h o u r b u c k e t s a g g r e g a t o r = B r o F i l t e r . s e r v e r _ n a m e , B r o F i l t e r . i d _ o r i g _ h , t i m e s t a m p _ d a y t a r g e t = t i m e s t a m p _ h o u r t r i g g e r _ s e n s i t i v i t y = 1 s n e a k y . c o m b u c k e t s A g g r e g a t o r :   " s n e a k y . c o m   -   1 9 2 . 1 6 8 . 0 . 2   -   1 9 / 1 2 " T a r g e t :   0 0   ( m i d n i g h t ) T o t a l   c o u n t :   5 A g g r e g a t o r :   " s n e a k y . c o m   -   1 9 2 . 1 6 8 . 0 . 2   -   1 9 / 1 2 " T a r g e t :   0 1   ( 0 1 : 0 0   A M ) T o t a l   c o u n t :   4 A g g r e g a t o r :   " s n e a k y . c o m   -   1 9 2 . 1 6 8 . 0 . 2   -   1 9 / 1 2 " T a r g e t :   0 2   ( 0 2 : 0 0   A M ) T o t a l   c o u n t :   5 . . .
触 发 灵 敏 度 定 义 了 允 许 存 在 多 少 “ 标 准 差 ” 。 在 上 面 的 例 子 中 ， 凌 晨   1   点 只 存 在   4   个 而 不 是   5   个 请 求 ， 如 果 不 容 忍 一 些 偏 差 的 存 在 ， 就 不 会 被 视 为 异 常 ！ 通 过 将 触 发 灵 敏 度 设 置 为   1   或 者 更 高 ， 将 不 会 错 过 那 些 微 小 偏 差 的 异 常 值 。 例 如 ， 在     设 置 为   1   的 情 况 下 ， 下 面   2 4   个 计 数 值 （ 一 天 中 每 小 时 一 个 ） 都 是   b e a c o n i n g 。 标 准 差 是   0 . 7 4 ， 小 于 设 置 值   1 ， 所 以 这 个   2 4   个     的 所 有 事 件 都 会 被 标 记 为 异 常 值 。 此 外 ，   模 型 的 内 置 要 求 是 至 少 需 要   1 0   个   ， 否 则 不 会 检 测 到   。 换 句 话 说 ， 上 面 如 果 只 有   9   个 值 而 不 是   2 4   个 ， 或 者 不 满 足 最 少 的   1 0   个 值 的 任 意 个 值 都 不 会 被 标 记 为 异 常 值 。 然 后 指 定 异 常 值 类 型 、 成 因 和 摘 要 。 请 注 意 ， 摘 要 中 可 以 包 含 占 位 符 字 段 ， 这 些 字 段 都 会 在 异 常 事 件 中 得 到 丰 富 ， 并 且 将 使 分 析 师 更 容 易 在 以 后 对 其 进 行 可 视 化 。 最 后 ， 让   e e - o u t l i e r s   运 行 该 模 型 。 在 配 置 文 件 的     部 分 中 全 局 启 用 或 禁 用 运 行 与 测 试 的 开 关 。 运 行 运 行   e e - o u t l i e r s 配 置 好 模 型 后 ， 运 行   e e - o u t l i e r s   来 查 看 结 果 。 按 照   G i t H u b   上 的   R E A D M E   页 面 所 述 运 行   e e - o u t l i e r s 。 以 交 互 模 式 运 行 时 ， 我 们 可 以 在 命 令 行 输 出 中 看 到 结 果 。 按 照 需 要 ， 可 能 需 要 配 置   D o c k e r 网 络 使 得   e e - o u t l i e r s   能 够 访 问   E l a s t i c s e a r c h ， 按 照   R E A D M E   页 面 配 置 即 可 ， 接 下 来 称 该 网 络 为   。 查 看 输 出 ， 似 乎 已 经 发 现 了 显 示 为   b e a c o n i n g   行 为 的 事 件 ： 如 果 在 配 置 文 件 中 启 用 了     选 项 ， 这 些 事 件 会 被 在 异 常 值 字 段 中 被 标 记 ， 就 可 以 对 其 进 行 可 视 化 。 可 视 化 结 果 可 视 化 结 果 我 们 使 用   K i b a n a   来 可 视 化 新 标 记 的 异 常 事 件 ， 基 于 包 含     的 所 有 事 件 创 建 直 方 图 。 此 外 还 创 建 了 两 个 表 来 展 示 异 常 值 类 型 与 成 因 ， 分 析 师 可 以 快 速 筛 选 出 感 兴 趣 的 内 容 。 过 滤   （ 这 是 在 之 前 定 义 的     字 段 的 名 称 ） ， 接 下 来 创 建 一 个 过 滤     字 段 的 表 ： 深 入 展 示 列 表 的 第 二 个 命 中 ， 再 次 进 行 过 滤     就 可 以 得 到 以 下 的 直 方 图 了 。 看 起 来 就 像 是     行 为 ， 事 实 上 这 是 我 们 实 验 室 的 设 备 ， 定 期 在   E m e r g i n g   T h r e a t s   网 站 中 提 取 新 的   I D S   规 则 通 过 检 查   a g g r e g a t o r   的 值 ， 我 们 可 以 看 到 计 算 出 了 哪 些   （ 格 式 ： s e r v e r _ n a m e   -   I P   -   h o u r ， 与 之 前 定 义 的 完 全 一 致 ） t r i g g e r _ s e n s i t i v i t y 5   5   5   4   4   5   5   5   5   3   5   5   5   2   5   5   5   5   4   5   5   5   5   5 b u c k e t s b e a c o n i n g b u c k e t s b e a c o n i n g o u t l i e r _ t y p e = s u s p i c i o u s   c o n n e c t i o n o u t l i e r _ r e a s o n = b e a c o n i n g   T L S   c o n n e c t i o n o u t l i e r _ s u m m a r y = b e a c o n i n g   T L S   c o n n e c t i o n   t o   { B r o F i l t e r . s e r v e r _ n a m e } g e n e r a l r u n _ m o d e l = 1 t e s t _ m o d e l = 0 s e n s o r _ n e t w o r k #   构 建 镜 像 d o c k e r   b u i l d   - t   " o u t l i e r s - d e v "   . #   运 行 镜 像 d o c k e r   r u n   - - n e t w o r k = s e n s o r _ n e t w o r k   - v   " $ P W D / d e f a u l t s : / m a p p e d v o l u m e s / c o n f i g "   - i   o u t l i e r s - d e v : l a t e s t   p y t h o n 3   o u t l i e r s . p y   i n t e r a c t i v e   - - c o n f i g   / m a p p e d v o l u m e s / c o n f i g / o u t l i e r s . c o n f 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 2   -   I N F O   -   = = = = =   e v a l u a t i n g   s s l _ o u t b o u n d   o u t l i e r   d e t e c t i o n   = = = = = 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 2   -   I N F O   -   a n a l y z i n g   6 , 0 0 1   e v e n t s 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   s s l _ o u t b o u n d   -   e v a l u a t i n g   b e a c o n i n g   m o d e l   [ 1 0 0 . 0 0 %   d o n e ] 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   e v a l u a t i n g   b a t c h   o f   6 , 0 0 1   t e r m s 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m 2 0 1 8 - 1 2 - 1 1   2 3 : 3 2 : 0 5   -   I N F O   -   o u t l i e r   -   b e a c o n i n g   T L S   c o n n e c t i o n   t o   r u l e s . e m e r g i n g t h r e a t s p r o . c o m e s _ s a v e _ r e s u l t s o u t l i e r s . r e a s o n b e a c o n i n g   T L S   c o n n e c t i o n o u t l i e r _ r e a s o n o u t l i e r _ s u m m a r y r u l e s . e m e r g i n g t h r e a t s p r o . c o m b e a c o n i n g b u c k e t s
最 后 下 钻     字 段 ， 可 以 看 到 每 小 时 发 出 了 多 少 请 求 。 请 注 意 ， o u t l i e r s   对 每 天 都 进 行 分 析 ， 因 为     是 配 置 的   a g g r e g a t o r   字 段 的 一 部 分 结 论 结 论 在 这 篇 文 章 中 ， 展 示 了   e e - o u t l i e r s   检 测 存 储 在   E l a s t i c s e a r c h   中 的 任 意 字 段 组 合 的   b e a c o n i n g   行 为 的 能 力 。   模 型 可 以 被 用 于 更 多 场 景 ： W i n d o w s   登 录 、 H T T P   和   D N S   b e a c o n i n g   等 。 配 置 触 发 灵 敏 度 可 以 决 定 模 型 以 多 严 格 的 标 准 检 测 异 常 值 ， 也 为 分 析 师 提 供 根 据 需 要 调 整 和 定 制 的 能 力 。 最 后 ， 通 过 使 用 新 字 段 丰 富 每 个 异 常 事 件 ， 在 任 何 喜 欢 的 可 视 化 工 具 中 制 作 显 示 异 常 值 的 仪 表 板 。 * 参 考 来 源 ： 参 考 来 源 ： n v i s o ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ （ F r e e B u f . C O M ） ） 精 彩 推 荐 精 彩 推 荐 t e r m s t i m e s t a m p _ d a y b e a c o n i n g
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理