Ein netzwerkbasiertes Erkennungssystem prüft Pakete auf der Leitung und alarmiert bei Mustern von Ausspähen, Angriff oder Datenabfluss.
Es ist ein Verkehrssensor, dessen Ausgabe ein Alarm ist, und das ist enger als jede Kontrolle, die zufällig in einem Netz sitzt.
So funktioniert es
Der Sensor kann eine Kopie der Pakete von einem Spiegel erhalten oder sie von einer Stelle sehen, die nicht der einzige Weiterleitungsweg sein muss.
Er sucht in diesem Verkehr nach Signaturen und seltsamen Mustern und benachrichtigt dann Menschen, während die Entscheidung zu sperren einer anderen Kontrolle bleibt.
Verschlüsselte Flüsse begrenzen, was der Sensor lesen kann, deshalb sieht er vielleicht nur Adressen, Größen und Zeiten, sofern die Organisation die Verschlüsselung nicht davor beendet.
Diese Grenze ist ein Grund, Host Erkennung daneben zu stellen, und kein Grund, so zu tun, als sehe die Leitungssicht in jede Sitzung hinein.
Konkrete Beispiele
- Ein Sensor im Serversegment alarmiert, wenn eine interne Adresse in einer Minute Verwaltungsports über Dutzende Hosts abfragt.
- Eine große nächtliche Übertragung an eine unbekannte externe Adresse erzeugt einen Alarm, den der Prozess zum Datenabfluss danach prüft.
- Ein Spiegelport im Labor zeigt einen Schwachstellenscanner, den das Sicherheitsteam einzuplanen vergessen hat, und der Alarm wird als erlaubt geschlossen.
Schutzmaßnahmen
- Setzen Sie Sensoren dorthin, wo Kopien wichtigen Verkehrs wirklich ankommen, und prüfen Sie, dass ein Muster im Labor einen Alarm erzeugt.
- Halten Sie Signaturen aktuell und mustern Sie laute aus, die das Team lehren, die Konsole zu ignorieren.
- Sagen Sie klar, dass dieser Sensor alarmiert, und benennen Sie die gesonderte Kontrolle, wenn Sitzungen auch gestoppt werden sollen.
- Stellen Sie der Leitungssicht Hostprotokolle zur Seite, wo Verschlüsselung die Nutzlast verbirgt, die Sie für die Absicht bräuchten.