Cyber security -6 Module2 Network monitoring and analysis

network traffic

yennefer 2025-06-04 05:57:59 ‧ 720 瀏覽

分享至

network traffic flows
packet sniffers
packet analysis

網路流量(Network Traffic)

網路流量的概念
- 網路流量(Network Traffic)：指的是跨網路系統傳輸的數據量。Network traffic is the amount of data that moves across a network.
- 網路數據(Network Data)：指的是設備間透過網路傳輸的數據內容。
網路流量管理的重要性
- 不同國家、不同設備間的數據傳遞可能會因不安全的儲存環境引發問題（如雲端存儲、私人郵箱）。
- 安全專業人員的主要責任是保護數據在「傳輸中」與「靜止狀態」的安全。
異常流量與潛在威脅
- 異常流量行為：如高流量的數據外發，可能暗示數據外洩(Data Exfiltration)的發生。
- 妥協指標indicators of Compromise/ IoC：可觀察的證據，例如：大批數據從主機往外發送。

主題	內容概述	舉例
網路流量(Network Traffic)	網路流量是跨網傳輸的數據量，理解正常流量有助於辨識異常。	多國跨設備間的數據傳遞，對安全性要求高。
異常流量(Abnormal Traffic)	發現數據流中不正常的高量流量，可能暗示安全威脅。	高頻數據外洩可能暗示攻擊者試圖外泄如用戶密碼或內部數據。
指標(IoC)	協助定位問題的具體證據，如觀察外向流量與正常流量的巨大不同。	觀測獲得數據是否有監聽(Indicator of Compromises)
攻擊案例： data exfiltration數據外洩	非法數據傳輸，如透過後門程式外發數據至攻擊者手中。	知識產權、機密數據無預警地流出組織。
安全專業人員的角色	幫助保障差傳通數據的機密性、數據的統一；及保密(Socket layers)

IoCs

help security analysts detect network traffic abnormalities by providing a way to identify an attack. IoCs provide analysts with specific evidence associated with an attack, such as a known malicious IP address, which can help quickly identify and respond to a potential security incident.

網路監控（Network Monitoring）

什麼是網路監控？

用以保持網路活動的全局了解，透過收集並分析網路流量來探測異常行為。
網路流量：移動於網路上的資料量，包含使用的資料種類（如HTTP）。
網路資料：在設備間傳輸的具體資料。

監控的要點：

流量分析Flow Analysis：監控封包Packets流量、通訊協定Protocols、端口Ports。
封包有效載荷分析（Payload Analysis）：檢視傳輸的數據內容，是否有可疑數據。
時間模式：分析時間關聯的資料量。如果活動時間在非正常工作時段，應行調查

監控要點	Flow Analysis	封包負載資訊（Packet Payload Information）	時間模式（Temporal Patterns）
關鍵知識點	流量（Flow）指的是網路通信的傳輸活動，其中包含與網路封包（Packets）、通訊協定（Protocols）和埠號（Ports）相關的資訊。	網路封包包含與數據傳輸相關的資訊，例如：來源IP、目的IP與負載信息（Payload Information）。	封包中包含時間相關的數據，可用來分析網路通訊的時間模式。
細節說明	封包可以傳到特定的埠號，埠號負責接收和傳輸信息。特定埠號常與通訊協定相關聯，例如：埠號443通常用於HTTPS協定，提供加密通訊。	封包負載是封包中實際傳輸的數據。若數據被加密，則需要解密才能分析其內容。	例如，某公司正常的業務流量集中於上午9點到下午5點之間，這段期間可視為基線活動。
惡意行為警示	攻擊者可能利用不常見的通訊協定protocols或埠號ports來維持與受感染系統的通訊（Command and Control/C2）。例如，使用埠號8088來運行HTTPS，而不是通常的埠443。	組織能藉由監控負載資訊，發現潛在的異常行為，例如：敏感數據被傳出網路外，這可能意味著資料外洩攻擊（Data Exfiltration）。	若某時間段的大流量發生在非基線的正常時間（例如深夜），這是一種異常情況，必須進一步調查。
建議措施	組織需要明確哪些埠號該保持開啟及被允許連線，並密切注意通訊協定與埠的不匹配現象。	監控負載資訊以辨識敏感數據傳輸的異常活動，並採取措施防止資料外洩。	當發現異常時間模式時，應立即調查並確認是否存在潛在威脅。

資料外洩（Data Exfiltration）

通常是指資料在不被偵測的情況下從一個系統傳輸至另一個系統或位置

範疇	定義與功能	舉例或補充說明
網路流量	資料移動量，包含傳輸種類（如HTTP）。	用來了解是否存在異常資料流動量或不正常的連接。
基準線 (Baseline)	供比較參考的數據標準，類似於個人預算的支出上限。	若流量超出一般工作時段的固定標準，應進行調查。
流量分析	監控封包、協議與端口。查看協議或端口是否與預期匹配。	例子：HTTPS通常是使用443端口，但惡意行為可能透過8088端口進行指令與控制 (C2)。
封包有效載荷（Payload）	每個封包內傳輸的實際數據內容。需要解密才能查看資料以檢測可疑行為。	如敏感數據在非授權情況下移動出網路（資料外洩攻擊）。
時間模式 (Temporal Patterns)	分析封包的時間資訊，以探測異常的流量時間。	例子：公司美國區域一般流量活躍於9AM至5PM，大量的夜間流量應調查原因。
IDS (入侵偵測系統)	偵測並警示設定範圍內的異常事件。	常見工具：分析封包中的惡意模式，如釣魚或惡意軟件的跡象。
Packet Sniffer	網路協議分析工具, 記錄與分析網路封包，用於進一步手動分析。	工具：tcpdump、Wireshark。
NOC 與 SOC 的差異	NOC專注於網路效能，SOC專注於網路安全與事件應答。	NOC 確保網路不會停機，而 SOC 保衛系統免於安全威脅。

Protect your network

Network monitoring tools

NOC 與 SOC 的區別：

**NOC（Network Operations Center）：**專注於網路效能、可用性及正確運作。
**SOC（Security Operations Center）：**專注於安全性（偵測、安全事件應對）。

Network monitoring tools

IDS 工具的核心之一是分析資料包Packet有效負載（payload）是指資料包中實際攜帶的資料內容。透過檢查有效負載，IDS 可以找出特定的威脅模式或簽名，例如偵測是否有惡意軟體的程式碼片段或網路釣魚資訊。這種功能對於防範網路攻擊至關重要。
Network protocol analyzers網路協定分析器，也稱為packet sniffers,是設計用來攔截和分析網路內資料流量的工具capture and analyze data traffic within a network。它們可以被用來手動詳細分析網路通信。範例包括像是 tcpdump 和 Wireshark 等工具，這些工具可以被安全專業人員用來透過封包捕捉記錄網路通信。封包捕捉後可以被調查以識別潛在的惡意活動。

Data exfiltration attacks

資料外洩攻擊

定義與介紹

資料外洩攻擊指的是攻擊者非法存取網路系統並將敏感資料從公司內部外洩至外部。
此類攻擊通常包含初次侵入、橫向移動、數據收集對應其他步驟，並使用不同技術避免被發現。

攻擊過程—從攻擊者角度
1. 初步存取：手法：攻擊者可使用社交工程，例如網絡釣魚 (phishing)，誘使受害者輸入敏感信息。
- 成效：成功進入受害者設備。
1. 橫向移動lateral movement/ pivoting：攻擊者會探索整個網路，試圖擴大其影響範圍並尋找有價值的資料資產。
2. 搜索與定位高價值目標：
  - 包括：個人資料 (PII)、內部代碼、財務記錄。
  - 搜索地點：內部文件分享、內部站點intranet sites,、代碼庫code repositories等。
3. 收集、打包與縮小collect, package, and prepare 規模：技術：壓縮數據來避開安全控制。
4. 資料傳送與外洩：手段：透過攻擊者控制的郵箱或其他途徑將數據外傳。

3)防禦過程—從企業角度
1. 防禦初次進入： prevent attacker access
- 方法：採用多因素驗證 (MFA) 防止釣魚攻擊。
2. 持續監控網路活動 monitor network activity：
- 監控異常行為，例如來自外部 IP 的多次登入嘗試。
3. 資產目錄 (Asset Inventory)： protect assets/asset inventories and security controls.
- 全面分類並記錄資產，套用適當的安全控制。
4. 監測與應對資料外洩：
- 使用異常數據分析：例如大規模文件傳輸或不預期的文件寫入。
- 工具：SIEM 可以發送警報，管理員可進一步調查與堵截攻擊。
- 防禦手段：透過防火牆封鎖攻擊者 IP。