Blockieren von TCP-Portscannern (T1046)
Dieses vordefinierte Korrelationsszenario erkennt Scans der Netzwerkdienste (T1046).
Threat Defender verwendet verhaltensbasierte Korrelation, um den Datenverkehr zu analysieren und Ereignisse über mehrere Datenströme hinweg zu korrelieren.
Das folgende Beispiel zeigt, wie Sie mit Threat Defender ein Korrelationsszenario einrichten, das eine Event-Tracking-Tabelle (ETT), ein dynamisches Netzwerkobjekt (DNO) und Regeln enthält.
Weitere Informationen zu den Einstellungsoptionen von Korrelationsszenarien finden Sie unter Advanced Correlation.
Tipp
Threat Defender stellt mehrere voreingestellte Korrelationsszenarien bereit, die Sie aktivieren und an Ihr Netzwerk und Ihre Anforderungen anpassen können. Das Portscan-Szenario finden Sie unter Policy > Advanced Correlation.
Ziel
Mit dieser Beispielkonfiguration erkennt Threat Defender Portscanner und unterbindet deren Verbindungsversuche.
Angreifer verwenden Portscans, um verwundbare Dienste im Netzwerk aufzuspüren. Indem ein solcher Scan unterbrochen wird, kann ein Angriff in der ersten Phase aufgehalten werden. Angriffe via Portscan zeichnen sich durch eine große Anzahl von Verbindungen zu unterschiedlichen TCP-Ports aus, die von derselben Client-IP hergestellt werden. Normalerweise verbinden sich Clients nur mit wenigen unterschiedlichen Serverports.
Mit der Korrelation-Engine von cognitix Threat Defender können Sie die Zielports aller Datenströme pro Client nachverfolgen. Wenn Clients innerhalb einer Minute mehr als 100 TCP-Verbindungen zu verschiedenen Ports initiieren, wird dieses Verhalten als Portscan eingestuft. Um den Portscan zu stoppen, wird der Verkehr von diesen Clients verworfen.
Anlegen eines Korrelationsszenarios
Legen Sie zuerst ein Korrelationsszenario an, das den Rahmen für die benötigte Even-Tracking-Tabelle, das dynamische Netzwerkobjekt und den Regelsatz bildet.
Öffnen Sie in der Benutzeroberfläche Policy > Advanced Correlation.
Klicken Sie Add, um ein neues Szenario hinzuzufügen.
Geben Sie einen Namen und eine optionale Beschreibung ein.
Klicken Sie auf SAVE.
Grundeinstellungen des Korrelationsszenarios.
Eine Event-Tracking-Tabelle erstellen
Erstellen Sie eine Event-Tracking-Tabelle, die die Anzahl kontaktierter Ports pro Quell-IP-Adresse speichert.
Öffnen Sie innerhalb des Szenarios den Reiter Event Tracking Tables.
Klicken Sie auf Add.
Geben Sie der Tabelle einen Namen, z.B.
Ports per host.Nehmen Sie folgende Einstellungen vor:
Setzen Sie Retention Time for Event Tracking auf
300, um alle Verbindungen in einem Zeitraum von 300 Sekunden nachzuverfolgen.Setzen Sie Primary Attribute Type auf
IP Address.Setzen Sie Maximum Number of Primary Attributes auf
1000.Setzen Sie Secondary Attribute Type auf
Layer 4 port.Setzen Sie Maximum Number of Secondary Attributes per Primary One auf
101.
Klicken Sie auf SAVE.
Konfiguration der Event-Tracking-Tabelle.
Diese Event-Tracking-Tabelle verfolgt maximal 1000 IP-Adressen mit jeweils 101 Ports nach. Das heißt die Datenstruktur kann bis zu 101000 Einträge enthalten.
Anlegen eines dynamischen Netzwerkobjekts
Erstellen Sie ein dynamisches Netzwerkobjekt im Korrelationsszenario. Es sammelt die IP-Adressen aller Hosts, die mehr als 100 Porteinträge in der Event-Tracking-Tabelle haben, d. h. mehr als 100 Ports pro Minute kontaktieren.
Öffnen Sie innerhalb des Korrelationsszenarios den Reiter Dynamic Network Objects.
Klicken Sie auf Add.
Geben Sie dem Objekt einen Namen, z.B.
Port scanner hosts.Nehmen Sie folgende Einstellungen vor:
Klicken Sie unter Network auf External.
Setzen Sie Size auf
100.Setzen Sie Timeout auf
300.
Konfiguration des dynamischen Netzwerkobjekts.
Klicken Sie SAVE, um das dynamische Netzwerkobjekt zu speichern.
Anlegen von Regeln in einem Korrelationsszenario
Um den Datenverkehr auszuwerten, werden in diesem Korrelationsszenario die folgenden drei Regeln benötigt:
Regel 1 verwirft den Datenverkehr, der von IPs im dynamischen Netzwerkobjekt ausgeht.
Regel 2 trägt die Kombinationen aus Quell-IP und Zielport aller Clients in die Event-Tracking-Tabelle ein.
Regel 3 zählt die Porteinträge in der Event-Tracking-Tabelle für jede Client-IP. Hat eine Client-IP mehr als 100 Porteinträge, also Verbindungen zu Ports, wird er zu dem dynamischen Netzwerkobjekt hinzugefügt.
Um im Korrelationsszenario eine Regel anzulegen, gehen Sie wie folgt vor:
Öffnen Sie innerhalb des Korrelationsszenarios den Reiter Rules.
Klicken Sie Add, um eine neue Regel zum Szenario hinzuzufügen.
Weisen Sie einen Namen zu.
Optional: Fügen Sie eine Beschreibung hinzu.
Nehmen Sie folgende Einstellungen vor:
Im Abschnitt Source & Destination setzen Sie Source Networks
D: Port Scanner Hosts.Setzen Sie Destination Networks auf
Any.Im Abschnitt Actions wählen Sie unter Final Action Reject Traffic and Stop Processing aus.
Mit SAVE speichern Sie die Regel.
Erstellen Sie die beiden übrigen Regeln auf die gleiche Weise.
Die folgende Tabelle zeigt die erforderlichen Einstellungen für alle drei Regeln:
Regel |
Source |
Destination |
Condition |
Actions |
|---|---|---|---|---|
|
|
Final Action: Reject Traffic and Stop Processing |
||
|
|
Add to Event Tracking Table |
||
|
|
Korrelationsbedingung: |
Dynamic Network Object Operation: |
Klicken Sie auf APPLY CHANGES oben in der Hauptnavigation, um Ihre Konfigurationsänderungen zu aktivieren.
Ergebnis
Der Datenverkehr von allen Hosts, die 100 oder mehr TCP-Verbindungen zu verschiedenen Ports pro Minute aufbauen, wird für 5 Minuten verworfen. Durch diese Hosts durchgeführte Portscans werden unterbrochen. Läuft der Timeout ab, werden die Hosts automatisch aus dem dynamischen Netzwerkobjekt entfernt und können neue Verbindungen zum Netzwerk aufbauen.
Regelsatz des Korrelationsszenarios.
Weitere Informationen:
Weitere Informationen zu den Einstellungsoptionen von Korrelationsszenarien finden Sie unter Advanced Correlation.
Weitere Informationen zu den Einstellungsoptionen von Event-Tracking-Tabellen finden Sie unter Event Tracking Tables.
Informationen zu den Einstellungsoptionen für dynamische Netzwerkobjekte finden Sie unter Dynamic Network Objects.
Weitere Informationen zu den Einstellungsoptionen für Regeln finden Sie unter Rules.