虛擬雲網路

網路虛擬化NSX 技術文章系列二百六十七: VMware網路安全新方案簡述(四)

作者: Colin Jao 饒康立 – VMware資深技術顧問,主要負責VMware NSX產品線,目前致力於網路虛擬化、分散式安全防護技術與新應用遞送方案的介紹與推廣。

在前面幾篇對應VMware網路安全方案介紹的網誌內大家應該可以感覺到,現行的防禦機制不僅是對於已知的攻擊手法要能夠即時阻擋,而就新的、未知的攻擊手段也希望能快速偵查,即使無法第一時間阻擋,至少能夠提供告警。比如說前篇網誌內我們討論惡意檔案偵測的機制,已知的檔案透過Hash值比對馬上能知道,而未知的檔案可透過本地分析,甚至進一步送到VMware雲端沙箱模擬器確認檔案是否有惡意行為。

而本篇要談到的網路流分析 (Network Traffic Analysis) 則是用來搭配防火牆與IDPS,除了原有已知的網路流進行連線政策控制以及特徵值比對外,更進一步判斷是否有可疑的未知攻擊。通常我們講『網路流分析』時的範圍比較大,在原本 Lastline的定義內大概可以分成下列幾種:

  • 信譽資訊 (Reputation Information): 針對Internet連線的IP地址、FQDN網域、URL等與信譽資料庫進行確認
  • 封包特徵值比對 (Payload Signatures): 針對連線封包是否符合惡意特徵值進行比對。這裡就是IDPS的天下
  • 協議異常 (Protocol Anomalies): 協議本身傳輸不正常,比如說在DNS協議內偷偷進行資料傳輸 (DNS tunneling)
  • 網路流異常 (Traffic Anomalies): 網路流與正常的行為模式不相同,像是突然有大量的port scanning掃描行為
  • 系統網路異常 (Host Anomalies): 單一主機的網路行為與正常模式不相同,比如說突然有大量的下載流量,突然有極少用的網路埠連線

透過整合信譽資料庫、以IDPS進行封包特徵值比對等可以解決網路流分析的部分要求,但其他的異常狀況可能就要透過進一步的手法包含了

  • 在IDPS內加上行為分析機制,透過客製化腳本對網路流觸動特定可疑行為提出告警
  • 藉由與日常系統網路流進行比較,對於與標準模式不同的異常行為發出告警。

前面的手法在NSX-T 3.2後透過IDPS內特徵值由VMware安全專家進行優化,並透過LUA Script進行異常行為比對達成。而後面的這個手法,在NSX內叫做Suspicious Traffic。

Suspicious Traffic功能是NSX Intelligence方案的延伸。當我們建立了NSX Application Platform並且啟用Intelligence功能,NSX會將所有納管之虛機網路流資訊統一收集到NAPP平台內。這代表了NAPP平台內儲存了整個NSX環境內的網路流資訊,此時管理者就可以依據需求來進行想要的行為比對了。

Suspicious Traffic功能預設為關閉,管理者可以選擇要啟用哪些比對模組。目前於NSX-T 3.2支援的模組包含下面這14種。

當管理者啟用相關模組後,異常模式比對便會在NAPP平台內開始運算,並可由Security內的Suspicious Traffic頁面進行檢視。下圖內我們列出了一個月內被標註為可疑的網路流,裡面的一個Vertical Port Scan嫌疑事件。點擊可發現有多個來源在對VDI-4這台機器的不同網路埠進行連線嘗試,很像可疑的網路掃描行為。

另一個有嫌疑的行為是有虛機往DNS詢問了大量奇怪的網域,很可能遭受到具備Domain Generation Algorithm攻擊手法的惡意程式感染。

因為Suspicious Traffic功能主要僅是用來提醒管理者可能有一些異常行為需要注意,當然也有可能誤判,因此這邊即使有告警,也不會進行連線阻擋的作業。基本上此處運作的重點就是透過Intelligence所收集的大量網路流,針對特定可疑的行為或是與一般連線模式不同之處發出提醒,提供資安管理者進一步相關資訊。

前面幾篇網誌我們討論了現有的網路安全新功能,包含了IDPS / Malware Prevention / Suspicious Traffic等等。資安管理者一定會想要討論一個問題:看起來從網路流、檔案、無論已知或未知,NSX能夠透過多種機制來進行事件偵測甚至阻擋。但我要怎麼看?難道要從海量的資料裡面慢慢去找嗎?下篇我們討論最重要的一個機制:透過Network Detection and Response介面,進行安全事件的統合查找分析。

相关文章

评论

发表评论

电子邮件地址不会被公开。

This site uses Akismet to reduce spam. Learn how your comment data is processed.