O beaconing é um dos sinais mais críticos em segurança cibernética: tráfego enviado em intervalos regulares da rede interna para uma infraestrutura controlada por um adversário, sinal de infecção por malware ou exfiltração contínua de dados. O problema: esse sinal está submerso em grandes volumes de registros de proxy, impossíveis de detectar manualmente. As equipes de segurança não tinham uma ferramenta que pudesse classificar automaticamente as milhões de conexões diárias para isolar comportamentos suspeitos e denunciá-los aos especialistas para verificação.
Detecção de balizamento
A equipe de segurança de um grande grupo precisava identificar sinais de sinalização, tráfego regular de rede enviado por máquinas potencialmente comprometidas para servidores controlados por atacantes. O volume de registros impossibilitou a detecção manual. Construímos o sistema de detecção de anomalias capaz de processar esses dados em grande escala.
Problématique
Solution
Ce que nous avons construit
Implantamos dois cientistas de dados para projetar um sistema de detecção de beacons de aprendizado de máquina, capaz de processar um grande volume de dados de rede.
Etapa 1 — Engenharia de extração e recursos. Análise e limpeza de registros de proxy para extrair recursos utilizáveis. Dois níveis de granularidade: agregações diárias por cliente, host e data e agregações ao longo de um período histórico por host para capturar os padrões de regularidade característicos do beaconing.
Etapa 2 — Modelagem por meio da detecção de anomalias. Os recursos foram usados como dados de treinamento para vários modelos de detecção de anomalias. A abordagem não supervisionada foi necessária: por definição, casos de sinalização não são rotulados em dados históricos.
Etapa 3 — Sistema de avaliação realista. Implementação de um protocolo de avaliação simulando condições reais de uso pela equipe de segurança, para medir a relevância dos alertas em um contexto operacional.
Etapa 4 — Melhoria contínua com especialistas. Trabalho iterativo com especialistas em segurança para refinar a engenharia de recursos e reduzir a taxa de falsos positivos, para que o volume de alertas permaneça tratável humanamente.
Projets dans la même catégorie
