ஊடுருவல் கண்டறிதல்: நெட்வொர்க் டிராஃபிக் பகுப்பாய்வு பற்றிய ஆழமான பார்வை

21 ஆம் நூற்றாண்டின் பரந்த, ஒன்றோடொன்று இணைக்கப்பட்ட டிஜிட்டல் உலகில், நிறுவனங்கள் பெரும்பாலும் பார்க்க முடியாத ஒரு போர்க்களத்தில் செயல்படுகின்றன. இந்த போர்க்களம் அவர்களின் சொந்த நெட்வொர்க் ஆகும், மேலும் போரிடுபவர்கள் வீரர்கள் அல்ல, ஆனால் தரவு பாக்கெட்டுகளின் நீரோடைகள். ஒவ்வொரு நொடியும், மில்லியன் கணக்கான இந்த பாக்கெட்டுகள் கார்ப்பரேட் நெட்வொர்க்குகளை கடந்து செல்கின்றன, வழக்கமான மின்னஞ்சல்கள் முதல் முக்கியமான அறிவுசார் சொத்துக்கள் வரை அனைத்தையும் எடுத்துச் செல்கின்றன. இருப்பினும், இந்த தரவு வெள்ளத்திற்குள் மறைந்திருக்கும் தீங்கிழைக்கும் நபர்கள் பாதிப்புகளைப் பயன்படுத்திக் கொள்ளவும், தகவல்களைத் திருடவும், செயல்பாடுகளை சீர்குலைக்கவும் முயல்கின்றனர். எளிதாகப் பார்க்க முடியாத அச்சுறுத்தல்களிலிருந்து நிறுவனங்கள் தங்களைப் பாதுகாத்துக் கொள்வது எப்படி? ஊடுருவல் கண்டறிதலுக்கான நெட்வொர்க் டிராஃபிக் பகுப்பாய்வு (NTA) கலை மற்றும் அறிவில் தேர்ச்சி பெறுவதே இதற்கான பதில்.

இந்த விரிவான வழிகாட்டி, ஒரு வலுவான ஊடுருவல் கண்டறிதல் அமைப்பிற்கு (IDS) NTA ஐ அடிப்படையாகப் பயன்படுத்துவதற்கான முக்கிய கொள்கைகளை வெளிச்சம் போட்டுக் காட்டும். அடிப்படை வழிமுறைகள், முக்கியமான தரவு ஆதாரங்கள் மற்றும் உலகளாவிய, எப்போதும் மாறிவரும் அச்சுறுத்தல் சூழலில் பாதுகாப்பு நிபுணர்கள் எதிர்கொள்ளும் நவீன சவால்களை நாங்கள் ஆராய்வோம்.

ஊடுருவல் கண்டறிதல் அமைப்பு (IDS) என்றால் என்ன?

அடிப்படையில், ஒரு ஊடுருவல் கண்டறிதல் அமைப்பு (IDS) என்பது ஒரு பாதுகாப்பு கருவியாகும் - இது ஒரு வன்பொருள் சாதனம் அல்லது மென்பொருள் பயன்பாடு ஆகும் - இது தீங்கிழைக்கும் கொள்கைகள் அல்லது கொள்கை மீறல்களுக்காக நெட்வொர்க் அல்லது கணினி செயல்பாடுகளை கண்காணிக்கும். இதை உங்கள் நெட்வொர்க்கிற்கான டிஜிட்டல் திருட்டு அலாரமாக நினைத்துப் பாருங்கள். இதன் முதன்மை செயல்பாடு ஒரு தாக்குதலைத் தடுப்பது அல்ல, ஆனால் அதைக் கண்டறிந்து ஒரு எச்சரிக்கையை எழுப்புவது ஆகும், இது பாதுகாப்பு குழுக்களுக்கு விசாரிக்கவும் பதிலளிக்கவும் தேவையான முக்கியமான தகவல்களை வழங்குகிறது.

ஒரு IDS ஐ அதன் மிகவும் முன்கூட்டிய சகோதரியான ஊடுருவல் தடுப்பு அமைப்பிலிருந்து (IPS) வேறுபடுத்துவது முக்கியம். ஒரு IDS ஒரு செயலற்ற கண்காணிப்பு கருவி (அது பார்த்து அறிக்கையிடும்), அதே நேரத்தில் ஒரு IPS என்பது கண்டறியப்பட்ட அச்சுறுத்தல்களை தானாகவே தடுக்கக்கூடிய ஒரு செயலில் உள்ள, இன்லைன் கருவியாகும். ஒரு எளிய ஒப்புமை, ஒரு பாதுகாப்பு கேமரா (IDS) மற்றும் அங்கீகரிக்கப்படாத வாகனத்தைக் கண்டறியும்போது தானாகவே மூடும் ஒரு பாதுகாப்பு வாயில் (IPS) ஆகும். இரண்டும் இன்றியமையாதவை, ஆனால் அவற்றின் பாத்திரங்கள் வேறுபட்டவை. இந்த இடுகை கண்டறிதல் அம்சத்தில் கவனம் செலுத்துகிறது, இது எந்தவொரு பயனுள்ள பதிலையும் வழங்கும் அடிப்படை நுண்ணறிவு ஆகும்.

நெட்வொர்க் டிராஃபிக் பகுப்பாய்வு (NTA) இன் மையப் பங்கு

ஒரு IDS அலாரம் அமைப்பு என்றால், நெட்வொர்க் டிராஃபிக் பகுப்பாய்வு அதைச் செயல்பட வைக்கும் அதிநவீன சென்சார் தொழில்நுட்பமாகும். NTA என்பது பாதுகாப்பு அச்சுறுத்தல்களைக் கண்டறிந்து பதிலளிக்க நெட்வொர்க் தொடர்பு முறைகளை இடைமறித்து, பதிவுசெய்து, பகுப்பாய்வு செய்யும் ஒரு செயல்முறையாகும். நெட்வொர்க் முழுவதும் பாயும் தரவு பாக்கெட்டுகளை ஆய்வு செய்வதன் மூலம், பாதுகாப்பு ஆய்வாளர்கள் ஒரு தாக்குதல் நடந்து கொண்டிருப்பதைக் குறிக்கும் சந்தேகத்திற்கிடமான செயல்பாடுகளை அடையாளம் காண முடியும்.

இது இணைய பாதுகாப்பின் அடிப்படை உண்மை. தனிப்பட்ட சர்வர்கள் அல்லது எண்ட்பாயிண்ட்களிலிருந்து வரும் பதிவுகள் மதிப்புமிக்கதாக இருந்தாலும், அவை ஒரு திறமையான எதிரியால் சிதைக்கப்படலாம் அல்லது முடக்கப்படலாம். இருப்பினும், நெட்வொர்க் போக்குவரத்தைப் போலியானதாக அல்லது மறைப்பது மிகவும் கடினம். ஒரு இலக்குடன் தொடர்பு கொள்ள அல்லது தரவை வெளியேற்ற, ஒரு தாக்குபவர் நெட்வொர்க் வழியாக பாக்கெட்டுகளை அனுப்ப வேண்டும். இந்த போக்குவரத்தைப் பகுப்பாய்வு செய்வதன் மூலம், நீங்கள் தாக்குபவரின் செயல்களை நேரடியாகக் கவனிக்கிறீர்கள், ஒரு துப்பறிவாளர் ஒரு சந்தேக நபரின் தொலைபேசி அழைப்பைக் கேட்பது போல, அவர்களின் தொகுக்கப்பட்ட நாட்குறிப்பைப் படிப்பது போலல்லாமல்.

IDS க்கான நெட்வொர்க் டிராஃபிக் பகுப்பாய்வின் முக்கிய வழிமுறைகள்

நெட்வொர்க் போக்குவரத்தைப் பகுப்பாய்வு செய்ய ஒரு ஒற்றை மாயாஜால புல்லட் இல்லை. அதற்கு பதிலாக, ஒரு முதிர்ந்த IDS, ஆழமான பாதுகாப்பு அணுகுமுறையை அடைய பல நிரப்பு வழிமுறைகளை பயன்படுத்துகிறது.

1. கையொப்ப அடிப்படையிலான கண்டறிதல்: அறியப்பட்ட அச்சுறுத்தல்களை அடையாளம் காணுதல்

கையொப்ப அடிப்படையிலான கண்டறிதல் என்பது மிகவும் பாரம்பரியமான மற்றும் பரவலாகப் புரிந்துகொள்ளப்பட்ட முறையாகும். இது அறியப்பட்ட அச்சுறுத்தல்களுடன் தொடர்புடைய தனிப்பட்ட வடிவங்கள் அல்லது "கையொப்பங்களின்" ஒரு பரந்த தரவுத்தளத்தை பராமரிப்பதன் மூலம் செயல்படுகிறது.

• இது எவ்வாறு செயல்படுகிறது: IDS ஒவ்வொரு பாக்கெட்டையும் அல்லது பாக்கெட்டுகளின் தொடரையும் ஆய்வு செய்து, அதன் உள்ளடக்கம் மற்றும் அமைப்பை கையொப்ப தரவுத்தளத்துடன் ஒப்பிடுகிறது. ஒரு பொருத்தம் கண்டறியப்பட்டால் - எடுத்துக்காட்டாக, அறியப்பட்ட மால்வேரில் பயன்படுத்தப்படும் ஒரு குறிப்பிட்ட குறியீட்டு சரம் அல்லது SQL ஊடுருவல் தாக்குதலில் பயன்படுத்தப்படும் ஒரு குறிப்பிட்ட கட்டளை - ஒரு எச்சரிக்கை தூண்டப்படுகிறது.
• நன்மைகள்: இது அறியப்பட்ட அச்சுறுத்தல்களைக் கண்டறிவதில் விதிவிலக்காக துல்லியமானது, குறைந்த தவறான பாசிடிவ் விகிதத்துடன். இது எதையாவது கொடியிடும்போது, அது தீங்கிழைக்கும் தன்மை கொண்டதா என்பதில் அதிக அளவு நிச்சயம் இருக்கும்.
• குறைபாடுகள்: இதன் மிகப்பெரிய பலம் அதன் மிகப்பெரிய பலவீனமாகவும் உள்ளது. கையொப்பம் இல்லாத புதிய, ஜீரோ-டே தாக்குதல்களுக்கு இது முற்றிலும் குருடானது. இது பயனுள்ளதாக இருக்க பாதுகாப்பு விற்பனையாளர்களிடமிருந்து நிலையான, சரியான நேரத்தில் புதுப்பிப்புகள் தேவை.
• உலகளாவிய எடுத்துக்காட்டு: 2017 இல் WannaCry ransomware புழு உலகளவில் பரவியபோது, புழுவைப் பரப்புவதற்குப் பயன்படுத்தப்படும் குறிப்பிட்ட நெட்வொர்க் பாக்கெட்டுகளைக் கண்டறிய கையொப்ப அடிப்படையிலான அமைப்புகள் விரைவாக புதுப்பிக்கப்பட்டன, இது புதுப்பிக்கப்பட்ட அமைப்புகளைக் கொண்ட நிறுவனங்களை திறம்பட தடுக்க அனுமதித்தது.

2. இயல்புக்கு மாறான கண்டறிதல்: அறியப்படாத அறியப்படாதவற்றைப் பார்த்தல்

கையொப்ப அடிப்படையிலான கண்டறிதல் அறியப்பட்ட தீங்கைத் தேடும் அதே வேளையில், இயல்புக்கு மாறான கண்டறிதல் நிறுவப்பட்ட இயல்பு நிலையிலிருந்து விலகல்களை அடையாளம் காண்பதில் கவனம் செலுத்துகிறது. இந்த அணுகுமுறை புதிய மற்றும் அதிநவீன தாக்குதல்களைப் பிடிப்பதற்கு முக்கியமானது.

• இது எவ்வாறு செயல்படுகிறது: கணினி முதலில் நெட்வொர்க்கின் சாதாரண நடத்தையைக் கற்றுக்கொள்ள சிறிது நேரம் செலவிடுகிறது, ஒரு புள்ளியியல் அடிப்படையை உருவாக்குகிறது. இந்த அடிப்படையானது பொதுவான போக்குவரத்து அளவுகள், எந்த நெறிமுறைகள் பயன்படுத்தப்படுகின்றன, எந்த சர்வர்கள் ஒன்றோடொன்று தொடர்பு கொள்கின்றன, மற்றும் இந்த தொடர்புகள் நிகழும் நேரங்கள் போன்ற அளவீடுகளை உள்ளடக்கியது. இந்த அடிப்படையிலிருந்து குறிப்பிடத்தக்க வகையில் விலகிச்செல்லும் எந்தவொரு செயலும் ஒரு சாத்தியமான இயல்புக்கு மாறானதாகக் குறிக்கப்படும்.
• நன்மைகள்: இது முன்பு காணப்படாத, ஜீரோ-டே தாக்குதல்களைக் கண்டறியும் சக்திவாய்ந்த திறனைக் கொண்டுள்ளது. இது ஒரு குறிப்பிட்ட நெட்வொர்க்கின் தனிப்பட்ட நடத்தைக்கு ஏற்ப வடிவமைக்கப்பட்டுள்ளதால், பொதுவான கையொப்பங்கள் தவறவிடும் அச்சுறுத்தல்களை இது கண்டறிய முடியும்.
• குறைபாடுகள்: இது அதிக தவறான பாசிடிவ் விகிதத்திற்கு ஆளாகக்கூடும். ஒரு பெரிய, ஒருமுறை தரவு காப்புப்பிரதி போன்ற சட்டபூர்வமான ஆனால் அசாதாரண செயல்பாடு ஒரு எச்சரிக்கையைத் தூண்டலாம். மேலும், ஆரம்ப கற்றல் கட்டத்தில் தீங்கிழைக்கும் செயல்பாடு இருந்தால், அது "சாதாரணமானது" என்று தவறாக அடிப்படைப்படுத்தப்படலாம்.
• உலகளாவிய எடுத்துக்காட்டு: ஒரு ஊழியரின் கணக்கு, பொதுவாக வணிக நேரங்களில் ஐரோப்பாவில் உள்ள ஒரு அலுவலகத்திலிருந்து செயல்படுகிறது, திடீரென்று அதிகாலை 3:00 மணிக்கு ஒரு வெவ்வேறு கண்டத்தில் உள்ள IP முகவரியிலிருந்து முக்கியமான சர்வர்களை அணுகத் தொடங்குகிறது. இயல்புக்கு மாறான கண்டறிதல் உடனடியாக இதை நிறுவப்பட்ட அடிப்படையிலிருந்து ஒரு உயர்-அபாய விலகலாகக் குறிக்கும், இது ஒரு சமரசம் செய்யப்பட்ட கணக்கைக் குறிக்கிறது.

3. நிலைசார் நெறிமுறை பகுப்பாய்வு: உரையாடலின் சூழலைப் புரிந்துகொள்ளுதல்

இந்த மேம்பட்ட நுட்பம் தனிப்பட்ட பாக்கெட்டுகளை தனிமைப்படுத்தி ஆய்வு செய்வதையும் தாண்டி செல்கிறது. இது நெட்வொர்க் நெறிமுறைகளின் நிலையைக் கண்காணிப்பதன் மூலம் ஒரு தொடர்பு அமர்வின் சூழலைப் புரிந்துகொள்வதில் கவனம் செலுத்துகிறது.

• இது எவ்வாறு செயல்படுகிறது: ஒரு குறிப்பிட்ட நெறிமுறைக்கு (TCP, HTTP அல்லது DNS போன்றவை) நிறுவப்பட்ட தரநிலைகளுக்கு இணங்குவதை உறுதிசெய்ய, கணினி பாக்கெட்டுகளின் வரிசையை பகுப்பாய்வு செய்கிறது. ஒரு சட்டபூர்வமான TCP ஹேண்ட்ஷேக் எப்படி இருக்கும், அல்லது ஒரு சரியான DNS கேள்வி மற்றும் பதில் எவ்வாறு செயல்பட வேண்டும் என்பதை இது புரிந்துகொள்கிறது.
• நன்மைகள்: இது ஒரு குறிப்பிட்ட கையொப்பத்தைத் தூண்டாத நுட்பமான வழிகளில் நெறிமுறை நடத்தையை துஷ்பிரயோகம் செய்யும் அல்லது கையாளும் தாக்குதல்களைக் கண்டறிய முடியும். இதில் போர்ட் ஸ்கேனிங், துண்டாக்கப்பட்ட பாக்கெட் தாக்குதல்கள் மற்றும் சில வகையான சேவையகம் மறுப்புத் தாக்குதல்கள் ஆகியவை அடங்கும்.
• குறைபாடுகள்: இது எளிய முறைகளை விட அதிக கணக்கீட்டு தீவிரமானதாக இருக்கலாம், அதிவேக நெட்வொர்க்குகளைத் தொடர அதிக சக்திவாய்ந்த வன்பொருள் தேவைப்படுகிறது.
• எடுத்துக்காட்டு: ஒரு தாக்குபவர் ஒரு சேவையகத்திற்கு TCP SYN பாக்கெட்டுகளை வெள்ளமாக அனுப்பலாம், ஆனால் ஹேண்ட்ஷேக்கை முடிக்காமல் (ஒரு SYN வெள்ளத் தாக்குதல்). ஒரு நிலைசார் பகுப்பாய்வு இயந்திரம் இதை TCP நெறிமுறையின் சட்டவிரோத பயன்பாடாக அங்கீகரித்து ஒரு எச்சரிக்கையை எழுப்பும், அதேசமயம் ஒரு எளிய பாக்கெட் இன்ஸ்பெக்டர் அவற்றை தனிப்பட்ட, செல்லுபடியாகும் பாக்கெட்டுகளாகக் காணலாம்.

நெட்வொர்க் டிராஃபிக் பகுப்பாய்வுக்கான முக்கிய தரவு ஆதாரங்கள்

இந்த பகுப்பாய்வுகளைச் செய்ய, ஒரு IDS க்கு மூல நெட்வொர்க் தரவுகளுக்கான அணுகல் தேவை. இந்த தரவின் தரம் மற்றும் வகை கணினியின் செயல்திறனை நேரடியாக பாதிக்கிறது. மூன்று முதன்மை ஆதாரங்கள் உள்ளன.

முழு பாக்கெட் கேப்சர் (PCAP)

இது மிகவும் விரிவான தரவு ஆதாரமாகும், இது ஒரு நெட்வொர்க் பிரிவில் பயணிக்கும் ஒவ்வொரு பாக்கெட்டையும் கைப்பற்றி சேமிப்பதை உள்ளடக்கியது. ஆழமான தடயவியல் விசாரணைகளுக்கான இறுதி உண்மை இது.

• ஒப்புமை: இது ஒரு கட்டிடத்தில் உள்ள ஒவ்வொரு உரையாடலின் உயர்-வரையறை வீடியோ மற்றும் ஆடியோ பதிவைக் கொண்டிருப்பது போன்றது.
• பயன்பாட்டு வழக்கு: ஒரு எச்சரிக்கைக்குப் பிறகு, ஒரு ஆய்வாளர் முழு PCAP தரவுக்குச் சென்று முழு தாக்குதல் வரிசையையும் மீண்டும் கட்டமைக்கலாம், என்ன தரவு வெளியேற்றப்பட்டது என்பதையும், தாக்குபவரின் முறைகளையும் விரிவாகப் புரிந்து கொள்ளலாம்.
• சவால்கள்: முழு PCAP ogromமான அளவு தரவை உருவாக்குகிறது, இது சேமிப்பகத்தையும் நீண்ட கால தக்கவைப்பையும் மிகவும் விலை உயர்ந்ததாகவும் சிக்கலானதாகவும் ஆக்குகிறது. GDPR போன்ற கடுமையான தரவு பாதுகாப்பு சட்டங்களைக் கொண்ட பகுதிகளில் இது குறிப்பிடத்தக்க தனியுரிமை கவலைகளையும் எழுப்புகிறது, ஏனெனில் இது முக்கியமான தனிப்பட்ட தகவல்கள் உட்பட அனைத்து தரவு உள்ளடக்கத்தையும் கைப்பற்றுகிறது.

NetFlow மற்றும் அதன் வகைகள் (IPFIX, sFlow)

NetFlow என்பது சிஸ்கோவால் IP போக்குவரத்து தகவல்களைச் சேகரிப்பதற்காக உருவாக்கப்பட்ட ஒரு நெட்வொர்க் நெறிமுறை ஆகும். இது பாக்கெட்டுகளின் உள்ளடக்கத்தை (பேலோட்) கைப்பற்றுவதில்லை; அதற்கு பதிலாக, இது தொடர்பு ஓட்டங்களைப் பற்றிய உயர்-நிலை மெட்டாடேட்டாவைக் கைப்பற்றுகிறது.

• ஒப்புமை: இது அழைப்பின் பதிவுக்குப் பதிலாக தொலைபேசி பில்லைக் கொண்டிருப்பது போன்றது. யார் யாரை அழைத்தார்கள், எப்போது அழைத்தார்கள், எவ்வளவு நேரம் பேசினார்கள், எவ்வளவு தரவு பரிமாற்றம் செய்யப்பட்டது என்பது உங்களுக்குத் தெரியும், ஆனால் அவர்கள் என்ன சொன்னார்கள் என்பது உங்களுக்குத் தெரியாது.
• பயன்பாட்டு வழக்கு: ஒரு பெரிய நெட்வொர்க் முழுவதும் இயல்புக்கு மாறான கண்டறிதல் மற்றும் உயர்-நிலை பார்வைக்கு சிறந்தது. ஒரு ஆய்வாளர் திடீரென்று ஒரு அறியப்பட்ட தீங்கிழைக்கும் சர்வருடன் தொடர்பு கொள்ளும் அல்லது வழக்கத்திற்கு மாறாக அதிக அளவு தரவை மாற்றும் ஒரு பணிநிலையத்தை விரைவாகக் கண்டறியலாம், பாக்கெட் உள்ளடக்கத்தை ஆய்வு செய்ய தேவையில்லை.
• சவால்கள்: பேலோட் இல்லாததால், ஓட்டத் தரவில் இருந்து மட்டும் ஒரு அச்சுறுத்தலின் குறிப்பிட்ட தன்மையை நீங்கள் தீர்மானிக்க முடியாது. நீங்கள் புகையைப் பார்க்கலாம் (இயல்புக்கு மாறான இணைப்பு), ஆனால் நீங்கள் எப்போதும் தீயைப் பார்க்க முடியாது (குறிப்பிட்ட தாக்குதல் குறியீடு).

நெட்வொர்க் சாதனங்களிலிருந்து பதிவுத் தரவு

ஃபயர்வால்கள், ப்ராக்ஸிகள், DNS சர்வர்கள் மற்றும் வெப் அப்ளிகேஷன் ஃபயர்வால்கள் போன்ற சாதனங்களிலிருந்து வரும் பதிவுகள் மூல நெட்வொர்க் தரவை நிறைவு செய்யும் முக்கியமான சூழலை வழங்குகின்றன. எடுத்துக்காட்டாக, ஒரு ஃபயர்வால் பதிவு ஒரு இணைப்பு தடுக்கப்பட்டதைக் காட்டலாம், ஒரு ப்ராக்ஸி பதிவு ஒரு பயனர் அணுக முயன்ற குறிப்பிட்ட URL ஐக் காட்டலாம், மேலும் ஒரு DNS பதிவு தீங்கிழைக்கும் டொமைன்களுக்கான கேள்விகளை வெளிப்படுத்தலாம்.

• பயன்பாட்டு வழக்கு: நெட்வொர்க் ஓட்டத் தரவை ப்ராக்ஸி பதிவுகளுடன் தொடர்புபடுத்துவது ஒரு விசாரணையை வளப்படுத்தலாம். எடுத்துக்காட்டாக, ஒரு உள் சர்வரிலிருந்து ஒரு வெளிப்புற IP க்கு ஒரு பெரிய தரவு பரிமாற்றத்தை NetFlow காட்டுகிறது. இந்த பரிமாற்றம் ஒரு வணிகமற்ற, அதிக ஆபத்துள்ள கோப்புப் பகிர்வு வலைத்தளத்திற்கு நடந்தது என்பதை ப்ராக்ஸி பதிவு வெளிப்படுத்தலாம், இது பாதுகாப்பு ஆய்வாளருக்கு உடனடி சூழலை வழங்குகிறது.

நவீன பாதுகாப்பு செயல்பாட்டு மையம் (SOC) மற்றும் NTA

ஒரு நவீன SOC இல், NTA ஒரு தனிப்பட்ட செயல்பாடு மட்டுமல்ல; இது ஒரு பரந்த பாதுகாப்பு சுற்றுச்சூழல் அமைப்பின் ஒரு முக்கிய அங்கமாகும், இது பெரும்பாலும் நெட்வொர்க் கண்டறிதல் மற்றும் மறுமொழி (NDR) எனப்படும் கருவிகளின் பிரிவில் உள்ளடங்கியுள்ளது.

கருவிகள் மற்றும் தளங்கள்

NTA நிலப்பரப்பில் சக்திவாய்ந்த திறந்த மூலக் கருவிகள் மற்றும் அதிநவீன வணிக தளங்களின் கலவை உள்ளது:

• திறந்த மூல: ஸ்னோர்ட் மற்றும் சுரிகாட்டா போன்ற கருவிகள் கையொப்ப அடிப்படையிலான IDS க்கான தொழில்துறை தரநிலைகள். ஜீக் (முன்பு ப்ரோ) என்பது நிலைசார் நெறிமுறை பகுப்பாய்வு மற்றும் நெட்வொர்க் போக்குவரத்திலிருந்து பணக்கார பரிவர்த்தனை பதிவுகளை உருவாக்குவதற்கான ஒரு சக்திவாய்ந்த கட்டமைப்பு ஆகும்.
• வணிக NDR: இந்த தளங்கள் பல்வேறு கண்டறிதல் முறைகளை (கையொப்பம், இயல்புக்கு மாறான, நடத்தை) ஒருங்கிணைத்து, பெரும்பாலும் செயற்கை நுண்ணறிவு (AI) மற்றும் இயந்திர கற்றல் (ML) ஐப் பயன்படுத்தி அதிக துல்லியமான நடத்தை அடிப்படையை உருவாக்குகின்றன, தவறான பாசிடிவ்களைக் குறைக்கின்றன, மேலும் வேறுபட்ட எச்சரிக்கைகளை ஒரு ஒற்றை, இணக்கமான சம்பவம் காலவரிசையில் தானாகவே தொடர்புபடுத்துகின்றன.

மனித கூறு: எச்சரிக்கைக்கு அப்பால்

கருவிகள் சமன்பாட்டின் ஒரு பாதி மட்டுமே. NTA இன் உண்மையான சக்தி திறமையான பாதுகாப்பு ஆய்வாளர்கள் அதன் வெளியீட்டை அச்சுறுத்தல்களை தீவிரமாக வேட்டையாட பயன்படுத்தும்போது உணரப்படுகிறது. செயலற்ற முறையில் ஒரு எச்சரிக்கைக்காகக் காத்திருப்பதற்குப் பதிலாக, அச்சுறுத்தல் வேட்டை ஒரு கருதுகோளை உருவாக்குவதை உள்ளடக்கியது (எ.கா., "ஒரு தாக்குபவர் DNS சுரங்கப்பாதையைப் பயன்படுத்தி தரவை வெளியேற்றலாம் என்று நான் சந்தேகிக்கிறேன்") பின்னர் அதை நிரூபிக்க அல்லது மறுக்க NTA தரவைப் பயன்படுத்தி ஆதாரங்களைத் தேடுகிறது. இந்த செயலில் உள்ள நிலைப்பாடு, தானியங்கு கண்டறிதலைத் தவிர்க்கத் திறமையான ரகசிய எதிரிகளைக் கண்டறிவதற்கு அவசியம்.

நெட்வொர்க் டிராஃபிக் பகுப்பாய்வில் சவால்கள் மற்றும் எதிர்கால போக்குகள்

NTA இன் புலம் தொழில்நுட்பம் மற்றும் தாக்குபவர் வழிமுறைகளில் ஏற்படும் மாற்றங்களுக்கு ஏற்ப தொடர்ந்து வளர்ந்து வருகிறது.

குறியாக்க சவால்

இன்றைய மிகப்பெரிய சவால் பரவலாக குறியாக்கம் (TLS/SSL) பயன்படுத்துவதாகும். தனியுரிமைக்கு அவசியமானதாக இருந்தாலும், குறியாக்கம் பாரம்பரிய பேலோட் ஆய்வை (கையொப்ப அடிப்படையிலான கண்டறிதல்) பயனற்றதாக்குகிறது, ஏனெனில் IDS பாக்கெட்டுகளின் உள்ளடக்கத்தைப் பார்க்க முடியாது. இது பெரும்பாலும் "going dark" பிரச்சனை என்று அழைக்கப்படுகிறது. தொழில்துறை பின்வரும் நுட்பங்களுடன் பதிலளிக்கிறது:

• TLS ஆய்வு: இது ஒரு நெட்வொர்க் நுழைவாயிலில் போக்குவரத்தை டிகிரைப்ட் செய்து ஆய்வு செய்து பின்னர் மீண்டும் என்க்ரிப்ட் செய்வதை உள்ளடக்கியது. இது பயனுள்ளது ஆனால் கணக்கீட்டு ரீதியாக விலை உயர்ந்தது மற்றும் தனியுரிமை மற்றும் கட்டடக்கலை சிக்கல்களை அறிமுகப்படுத்துகிறது.
• குறியாக்கப்பட்ட போக்குவரத்து பகுப்பாய்வு (ETA): ஒரு புதிய அணுகுமுறை, இது குறியாக்கப்படாத ஓட்டத்திற்குள் உள்ள மெட்டாடேட்டா மற்றும் வடிவங்களை பகுப்பாய்வு செய்ய இயந்திர கற்றலைப் பயன்படுத்துகிறது - டிகிரைப்ட் செய்யாமல். இது பாக்கெட் நீளங்கள் மற்றும் நேரங்களின் வரிசை போன்ற பண்புகளை பகுப்பாய்வு செய்வதன் மூலம் மால்வேரைக் கண்டறிய முடியும், இது சில மால்வேர் குடும்பங்களுக்கு தனித்துவமானது.

கிளவுட் மற்றும் ஹைப்ரிட் சூழல்கள்

நிறுவனங்கள் கிளவுட்டிற்கு நகரும்போது, பாரம்பரிய நெட்வொர்க் சுற்றளவு கரைந்துவிடுகிறது. பாதுகாப்பு குழுக்கள் இனி இணைய நுழைவாயிலில் ஒரு ஒற்றை சென்சார் வைக்க முடியாது. NTA இப்போது மெய்நிகர் சூழல்களில் செயல்பட வேண்டும், AWS VPC Flow Logs, Azure Network Watcher மற்றும் Google இன் VPC Flow Logs போன்ற கிளவுட்-நேட்டிவ் தரவு ஆதாரங்களைப் பயன்படுத்தி கிளவுட்டில் உள்ள கிழக்கு-மேற்கு (சர்வர்-டு-சர்வர்) மற்றும் வடக்கு-தெற்கு (உள்ளே மற்றும் வெளியே) போக்குவரத்தைப் பற்றிய பார்வையைப் பெற வேண்டும்.

IoT மற்றும் BYOD இன் வெடிப்பு

இன்டர்நெட் ஆஃப் திங்ஸ் (IoT) சாதனங்கள் மற்றும் உங்கள் சொந்த சாதனத்தைக் கொண்டு வாருங்கள் (BYOD) கொள்கைகளின் பெருக்கம் நெட்வொர்க் தாக்குதல் பரப்பளவை வியத்தகு முறையில் விரிவுபடுத்தியுள்ளது. இந்த சாதனங்களில் பல பாரம்பரிய பாதுகாப்பு கட்டுப்பாடுகளைக் கொண்டிருக்கவில்லை. இந்த சாதனங்களை சுயவிவரப்படுத்துவதற்கும், அவற்றின் சாதாரண தொடர்பு முறைகளை அடிப்படைப்படுத்துவதற்கும், ஒன்று சமரசம் செய்யப்பட்டு அசாதாரணமாக செயல்படத் தொடங்கும் போது (எ.கா., ஒரு ஸ்மார்ட் கேமரா திடீரென்று ஒரு நிதித் தரவுத்தளத்தை அணுக முயல்வது) விரைவாகக் கண்டறிவதற்கும் NTA ஒரு முக்கியமான கருவியாக மாறி வருகிறது.

முடிவுரை: நவீன இணைய பாதுகாப்பின் ஒரு தூண்

நெட்வொர்க் டிராஃபிக் பகுப்பாய்வு என்பது ஒரு பாதுகாப்பு நுட்பத்தை விட மேலானது; இது எந்தவொரு நவீன நிறுவனத்தின் டிஜிட்டல் நரம்பு மண்டலத்தைப் புரிந்துகொள்வதற்கும் பாதுகாப்பதற்கும் ஒரு அடிப்படை ஒழுக்கம். ஒரு ஒற்றை வழிமுறையைத் தாண்டி, கையொப்பம், இயல்புக்கு மாறான மற்றும் நிலைசார் நெறிமுறை பகுப்பாய்வின் கலந்த அணுகுமுறையை மேற்கொள்வதன் மூலம், பாதுகாப்பு குழுக்கள் தங்கள் சூழல்களில் நிகரற்ற பார்வையைப் பெற முடியும்.

குறியாக்கம் மற்றும் கிளவுட் போன்ற சவால்களுக்கு தொடர்ச்சியான புதுமை தேவைப்பட்டாலும், கொள்கை அப்படியே உள்ளது: நெட்வொர்க் பொய் சொல்லாது. அதன் வழியாகப் பாயும் பாக்கெட்டுகள் என்ன நடக்கிறது என்பதன் உண்மையான கதையைச் சொல்கின்றன. உலகெங்கிலும் உள்ள நிறுவனங்களுக்கு, அந்தக் கதையைக் கேட்டு, புரிந்துகொண்டு, அதன் மீது செயல்படும் திறனை உருவாக்குவது இனி ஒரு விருப்பமல்ல - இது இன்றைய சிக்கலான அச்சுறுத்தல் சூழலில் உயிர்வாழ்வதற்கு ஒரு அவசியமான தேவை.