یک هشدار شبکه را تا بسته‌های اصلی دنبال کنید
یک حسگر امنیتی ساعت ده شب از ارتباط غیرمنتظره میان سرور آزمایشی و یک نشانی خارجی خبر می‌دهد. گزارش هشدار مبدا، مقصد و زمان تقریبی را دارد. برای پاسخ، تحلیلگر می‌خواهد بداند کدام اتصال واقعاً برقرار شد، چه حجمی در هر جهت گذشت و آیا شواهد کافی برای ادامه بررسی وجود دارد. Arkime سامانه متن‌باز ضبط و تحلیل ترافیک شبکه است. بسته‌ها را در قالب استاندارد PCAP نگه می‌دارد و اطلاعات نشست‌ها را برای جست‌وجو نمایه می‌کند. تحلیلگر می‌تواند از یک محدوده زمانی و چند فیلد به نشست مناسب برسد و بسته‌های مرتبط را برای بررسی دقیق‌تر باز کند.
این جریان کاری زمانی نتیجه می‌دهد که ترافیک در محل مناسب دیده شده باشد و بسته‌های آن تا زمان رسیدگی باقی مانده باشند. هشدار یک IDS می‌تواند نقطه شروع جست‌وجو باشد. Arkime امکان می‌دهد شواهد آن هشدار را در ترافیک ضبط‌شده دنبال کنید. جایگاه حسگر، نگهداری بسته‌ها و کیفیت ساعت‌ها بخشی از طراحی سامانه هستند. اگر مسیر ارتباط از برابر حسگر عبور نکرده باشد، هیچ عبارت جست‌وجویی آن ارتباط را به آرشیو اضافه نمی‌کند.
سه جزء اصلی و دو نوع ذخیره‌سازی
در شرح رسمی پروژه، جزء capture بسته‌های شبکه را دریافت می‌کند، آن‌ها را به فایل PCAP می‌نویسد و اطلاعات استخراج‌شده از نشست را به OpenSearch یا Elasticsearch می‌فرستد. جزء viewer رابط وب و دسترسی به بسته‌ها را فراهم می‌کند. موتور جست‌وجو رکوردهای نمایه‌شده را نگه می‌دارد تا کاربر مجبور نباشد برای هر پرسش تمام بایت‌های ذخیره‌شده را دوباره اسکن کند. در استقرار چندحسگری، محل بسته‌ها به حسگر مرتبط است و مسیر ارتباط viewer با آن حسگر اهمیت عملی پیدا می‌کند.
این جدایی دو افق نگهداری می‌سازد. ممکن است رکورد یک نشست هنوز در نمایه باشد اما دیسک حسگر، بسته‌های قدیمی آن را طبق سیاست نگهداری کنار گذاشته باشد. در چنین وضعی تحلیلگر زمان و نشانی‌ها را می‌بیند ولی نمی‌تواند PCAP کامل را صادر کند. حالت دیگر، مشکل ارتباط با viewer حسگر است که می‌تواند رفتاری مشابه ایجاد کند. برای تشخیص این دو، زمان نشست را با بازه واقعی نگهداری و وضعیت ارتباط حسگر مقایسه کنید. تنها از مشاهده یک ردیف نشست، وجود بسته‌ها را نتیجه نگیرید.
محیط دریافت ترافیک را طراحی کنید
پیش از نصب، روی یک نقشه ساده مسیر درخواست و پاسخ را بکشید. حسگر ممکن است روی نسخه آینه‌شده یک رابط، کنار درگاه خروجی یا در یک بخش داخلی قرار گیرد. اگر فقط جهت رفت دیده شود، کارشناس ممکن است درخواست‌های بی‌پاسخ گزارش کند، درحالی‌که پاسخ از مسیر دیگری عبور کرده است. برای آزمون، دو میزبان مجاز آزمایشگاهی انتخاب کنید و یک تبادل ساده شامل درخواست و پاسخ معلوم ایجاد کنید. از دو طرف زمان، نشانی‌ها و اندازه تقریبی انتقال را ثبت کنید.
اگر میان میزبان و حسگر ترجمه نشانی وجود دارد، IPی که در هشدار پایانه دیده می‌شود ممکن است در نمای شبکه متفاوت باشد. برای مثال، روی خروجی شبکه یک نشانی عمومی مشترک نمایش داده می‌شود، درحالی‌که رخداد پایانه نشانی خصوصی را ثبت کرده است. محل حسگر و نگاشت زمانی NAT در اینجا مهم‌تر از طول عبارت جست‌وجو هستند. اختلاف ساعت بین میزبان، سامانه هشدار و حسگر را هم ثبت کنید. جست‌وجوی یک دقیقه اشتباه می‌تواند تحلیلگر را از نشست درست دور کند.
پروژه باینری‌های آماده و کانتینر رسمی معرفی می‌کند. هنگام استقرار آزمایشی، روش متناسب با سیستم خود را از صفحه نصب رسمی انتخاب کنید و نسخه Arkime و موتور جست‌وجوی سازگار را ثبت کنید. فایل config.ini محل بسیاری از تنظیمات است. مسیر نوشتن بسته‌ها، مشخصات حسگر و اتصال به موتور جست‌وجو را مطابق راهنمای همان نسخه بررسی کنید. قبل از فعال کردن ضبط گسترده، حجم کم و ترافیک ساختگی برای تشخیص خطای دسترسی، اشکال دیسک یا ناسازگاری ارتباط کافی است.
از نشست شناخته‌شده تا PCAP
برای آزمایش، یک سرویس محلی ایجاد کنید که درخواست ساختگی را پاسخ می‌دهد و داده محرمانه‌ای در آن نیست. زمان دقیق آغاز و پایان را یادداشت کنید. صفحه Sessions را باز کنید، بازه زمانی را به چند دقیقه پیرامون آزمایش محدود کنید و جفت نشانی‌ها یا پورت مقصد را برای یافتن نشست به کار ببرید. نشست را باز کنید و جزئیات زمان، بسته و داده‌های استخراج‌شده را با یادداشت آزمایش تطبیق دهید. سپس بسته‌های همان نشست را صادر و در یک خوانشگر مستقل PCAP مانند Wireshark باز کنید.
هدف از خوانش مستقل، بررسی سازگاری دو نمایش است. اگر گزارش سرویس دریافت یک درخواست را نشان می‌دهد و PCAP هر دو جهت را دارد، می‌توانید ترتیب درخواست و پاسخ را دنبال کنید. اگر فقط جهت ارسال دیده شده، پیش از نسبت دادن خطا به سرویس بررسی کنید آیا رابط آینه‌شده هر دو جهت را منتقل می‌کند. در صورت وجود چند حسگر، نام حسگری که نشست را ثبت کرده یادداشت کنید. برای یک ارتباط عبوری ممکن است دو محل ضبط داده‌های متفاوت یا تکراری تولید کنند.
صفحه SPI View برای دیدن مقادیر فیلدهای شناخته‌شده و بررسی توزیع آن‌ها مناسب است. مثلاً می‌توانید از مجموعه نشست‌های محدودشده به یک بازه، مقصدهای پرتکرار را ببینید و یکی را برای بررسی جدا انتخاب کنید. زیاد بودن تعداد اتصال به یک نشانی به خودی خود ماهیت رخداد را تعیین نمی‌کند. یک به‌روزرسانی مجاز یا سرویس داخلی پرکار نیز می‌تواند چنین الگویی بسازد. برنامه بررسی باید از مشاهده اولیه به یک سؤال قابل سنجش برسد، مانند اینکه آیا انتقال خارج از پنجره نگهداری رخ داده است.
برآورد ظرفیت با واحدهای درست
ترافیک شبکه با بیت بر ثانیه گزارش می‌شود و فضای دیسک معمولاً با بایت سنجیده می‌شود. در یک تقریب ساده، میانگین پیوسته یک گیگابیت بر ثانیه در روز حدود ۱۰٫۸ ترابایت داده خام می‌سازد. ابتدا نرخ را بر هشت تقسیم می‌کنیم تا بایت بر ثانیه به دست آید و سپس در تعداد ثانیه‌های روز ضرب می‌کنیم. FAQ پروژه نیز برای این مرتبه از ترافیک عدد تقریبی یازده ترابایت روزانه را ذکر می‌کند. این حساب ظرفیت نمایه، افزونگی و فضای ذخیره احتیاطی را در بر نمی‌گیرد.
برای نمونه‌ای کوچک‌تر با میانگین صد مگابیت بر ثانیه، حجم خام روزانه حدود ۱٫۰۸ ترابایت می‌شود. اگر فقط سه ترابایت فضای قابل استفاده برای بسته‌ها داشته باشید، انتظار نگهداری یک هفته با چنین میانگینی واقع‌بینانه نیست. از سوی دیگر ترافیک اداری ممکن است در شب کمتر باشد. بهتر است مصرف واقعی حسگر را در چند روز کاری و تعطیل اندازه بگیرید و سپس درباره افق نگهداری تصمیم بگیرید. یک عدد اسمی روی کارت شبکه جای اندازه‌گیری نرخ واقعی را نمی‌گیرد.
توان نوشتن دیسک نیز به اندازه ظرفیت آن مهم است. دیسکی که جای کافی دارد ممکن است هنگام جهش کوتاه ترافیک نتواند همه بسته‌ها را بنویسد. هم‌زمان، موتور جست‌وجو باید رکوردهای نشست را به موقع بپذیرد. افزایش فضای دیسک حسگر صف پردازش در موتور جست‌وجو را برطرف نمی‌کند. برای عیب‌یابی، نرخ ورود بسته، میزان افت، سرعت نوشتن و وضعیت نمایه‌سازی را جدا دنبال کنید. نتیجه اندازه‌گیری را همراه نام رابط و زمان اوج ثبت کنید تا دو حسگر با الگوهای بار متفاوت اشتباه مقایسه نشوند.
ترافیک رمزگذاری‌شده و حد تفسیر
در بسیاری از شبکه‌ها، داده برنامه داخل TLS یا پروتکل رمزگذاری‌شده دیگری منتقل می‌شود. ضبط بسته به تنهایی محتوای آشکار برنامه را در اختیار تحلیلگر نمی‌گذارد. با این حال زمان‌بندی، نشانی‌ها، جهت تبادل و حجم ممکن است برای پاسخ‌گویی مفید باشند. اگر سؤال پرونده درباره متن یک سند ارسالی است، احتمال دارد شواهد شبکه کافی نباشد و گزارش برنامه یا پایانه لازم باشد. این محدودیت را در توضیح یافته بیاورید تا خواننده مقدار بایت انتقالی را با اثبات محتوای مشخص اشتباه نگیرد.
در آزمایش خود یک بار سرویس آزمایشی را روی اتصال رمزگذاری‌شده بررسی کنید. زمان تکمیل ارتباط و تعداد نشست‌های مرتبط را با ثبت برنامه مقایسه کنید. اگر درخواست برنامه موفق بوده ولی محتوای درخواست در نمای بسته‌ها خوانا نیست، این دو مشاهده می‌توانند هم‌زمان درست باشند. برای گزارش، از زبانی مانند «اتصال در این بازه دیده شد و این مقدار داده ثبت شد» استفاده کنید. عبارت «فایل مشخص از شبکه خارج شد» نیازمند شاهدی است که واقعاً هویت فایل را ثابت کند.
دسترسی به رابط و داده صادرشده
README رسمی برای viewer استفاده از TLS و حفاظت از فایل تنظیمات و کلیدها را توضیح می‌دهد. در طراحی چندحسگری می‌توان دسترسی از طریق viewer مرکزی را در نظر گرفت. حسابی که فقط برای مرور اطلاعات نشست به کار می‌رود نباید بدون نیاز عملی بتواند همه بسته‌های شبکه را صادر کند. سیاست نقش‌ها را با دو حساب آزمایشی بررسی کنید و فقط به نام نقش اکتفا نکنید. فایل PCAP صادرشده ممکن است پس از خروج از رابط بدون محدودیت قبلی کپی شود.
برای یک پرونده، کوچک‌ترین بازه و نشست‌های مرتبط را صادر کنید و نام حسگر، زمان، عبارت جست‌وجو، هش فایل و شخص تحویل‌گیرنده را ثبت کنید. نسخه بررسی را در محلی نگه دارید که دسترسی آن با حساسیت داده متناسب باشد. اگر تیم دیگری فقط به چهار نشانی و زمان‌بندی نیاز دارد، گزارش نشست می‌تواند برای آن درخواست کافی باشد. به این ترتیب داده مشتری یا واحد سازمانی دیگر بی‌دلیل وارد پیوست پرونده نمی‌شود و بازبین همچنان می‌داند شواهد اصلی کجا قرار دارد.
وقتی نشست پیدا نمی‌شود
عیب‌یابی را از ساده‌ترین فاصله‌ها آغاز کنید. بازه زمانی و منطقه زمانی را بررسی کنید، فیلتر را موقتاً ساده کنید و ببینید حسگر در همان زمان برای هیچ میزبان دیگری داده ثبت کرده است یا نه. اگر هیچ نشستی دیده نمی‌شود، سلامت دریافت و نمایه‌سازی را جدا بررسی کنید. اگر فقط هدف مورد نظر غایب است، مسیر شبکه، ترجمه نشانی و سیاست فیلتر ضبط را با یک نمونه شناخته‌شده مقایسه کنید. جست‌وجوی نام دامنه نیز به وجود داده قابل استخراج و پروتکل واقعی وابسته است.
در تمرین نهایی یک همکار با دسترسی تعریف‌شده باید بتواند از زمان هشدار به نشست برسد، محدودیت دید حسگر را توضیح دهد و بسته‌های باقی‌مانده را مستقل باز کند. از او بخواهید برای یک نشست قدیمی هم همین مسیر را تکرار کند تا تفاوت بازه نگهداری نمایه و بسته آشکار شود. این دو تمرین علاوه بر کارکرد ابزار، کیفیت استقرار را اندازه می‌گیرند. وقتی شاهد شبکه ناقص است، گزارش دقیق درباره بخش مشاهده‌نشده به اندازه نتیجه مثبت برای تصمیم تیم پاسخ ارزش دارد.
