Campi e definizioni dei metadati di rete

Questa pagina offre una guida strutturata ai campi dei metadati di sicurezza di rete utilizzati nella Vectra AI . Definisce gli attributi dello schema comune, i campi relativi alla connettività a livello di sessione, la telemetria specifica per protocollo (DNS, HTTP, SMB, LDAP, ecc.), i metadati di autenticazione (Kerberos, NTLM, RADIUS), gli attributi di corrispondenza a livello di rilevamento e le impronte digitali delle comunicazioni crittografate (SSL/TLS, SSH, X.509). Questi flussi di metadati normalizzati consentono l'analisi comportamentale, la correlazione tra domini e la visibilità del traffico crittografato senza richiedere l'acquisizione completa dei pacchetti. Insieme, costituiscono la base per l'osservabilità scalabile della rete e le indagini di sicurezza in ambienti aziendali ibridi.

Questi flussi di metadati normalizzati supportano la ricerca delle minacce, l'arricchimento dei metadati e l'analisi forense dei metadati, consentendo l'analisi comportamentale, la correlazione tra domini e la visibilità del traffico crittografato, senza richiedere l'acquisizione completa dei pacchetti. Insieme, costituiscono la base per un'osservabilità e un'analisi scalabili della rete in ambienti aziendali ibridi.

Campi di metadati di rete comuni a tutti i flussi di telemetria (ad eccezione del DHCP)

Questi campi compaiono in quasi tutti i flussi di metadati e definiscono lo schema di connessione condiviso utilizzato per tutti i tipi di metadati. Essi contengono gli identificatori di origine e di risposta, le porte, i nomi host, gli indicatori di località, le attribuzioni dei sensori, i timestamp e un UID di connessione stabile.

Considerare questi campi come chiavi di join di riferimento. Essi fungono da punto di riferimento per i flussi di lavoro di arricchimento dei metadati, consentendo di ricondurre i record relativi a protocolli, autenticazioni e rilevamenti alla stessa sessione e alla stessa entità. Nell'ambito della ricerca delle minacce e dell'analisi forense dei metadati, questa coerenza garantisce un'analisi incrociata affidabile tra i diversi livelli di telemetria.

La maggior parte delle tabelle di protocollo che seguono estendono questo schema pur mantenendo il contesto condiviso. Ciò garantisce l'integrità dell'attribuzione e la continuità della sessione tra i flussi di metadati di rete.

Campi dei metadati dei beacon e modelli di comunicazione comportamentale

I metadati dei beacon descrivono le comunicazioni ripetute tra un'origine e una destinazione nel corso di più sessioni. I campi riportati di seguito riportano l'identificatore del beacon, gli intervalli temporali, il numero di sessioni, il volume di byte per direzione, il contesto del protocollo/servizio e l'impronta digitale del client utilizzati per sintetizzare lo schema.

L'analisi dei beacon viene spesso utilizzata nella ricerca delle minacce per identificare i callback di comando e controllo, i cicli di automazione e le comunicazioni in uscita persistenti. Anziché esaminare i pacchetti, gli analisti si basano su tipi di metadati che descrivono la periodicità e la coerenza.

Utilizza questi campi per valutare la durata, la frequenza e il volume direzionale. Passa quindi ai metadati DNS, HTTP o SSL/TLS per ottenere un contesto comportamentale più approfondito durante l'analisi forense dei metadati.

Smettila di cercare il "perché" dietro i rilevamenti di rete

Il beaconing è solo uno dei segnali comportamentali. Quando vengono rilevati metadati di rete sospetti, gli analisti devono comunque capire quale endpoint o identità endpoint li abbia generati. Senza questo collegamento, le indagini si arenano.

Vedi la correlazione tra endpoint

Campi dei metadati DCE-RPC e attributi delle chiamate di procedura remota

I metadati DCE-RPC registrano il comportamento delle chiamate di procedura remota comunemente associato all'amministrazione di Windows e all'interazione con i servizi. Questi campi codificano il contesto del dominio, endpoint , le operazioni invocate, l'attribuzione del nome utente e i tempi di richiesta/risposta.

Nel threat hunting, i metadati DCE-RPC consentono di individuare sequenze di esecuzione remota anomale e modelli di utilizzo dei privilegi senza ricorrere endpoint .

Durante l'analisi forense dei metadati, utilizzare i nomi delle operazioni e il contesto relativo a nome utente/host per distinguere le normali attività amministrative dai movimenti laterali.

Campi dei metadati DHCP e attributi di configurazione di rete

I metadati DHCP registrano le assegnazioni dinamiche di indirizzi e configurazioni che consentono ai dispositivi di connettersi alla rete. Questi tipi di metadati associano gli indirizzi IP assegnati agli indirizzi MAC e ai nomi host, registrando al contempo la durata del lease e l'attribuzione dei server DHCP/DNS.

Poiché il ricambio degli indirizzi IP complica le indagini, i record DHCP forniscono un arricchimento dei metadati fondamentale per garantire la continuità dell'attribuzione.

Utilizzare i campi DHCP per garantire la continuità delle indagini in caso di modifica degli indirizzi IP, basando l'identificazione sugli attributi a livello di dispositivo anziché su indirizzi temporanei.

Campi dei metadati DNS e attributi delle risposte alle query

I metadati DNS descrivono il comportamento della risoluzione dei domini, inclusi l'intento della query, la gestione della ricorsione, i codici di risposta, i flag di troncamento, i valori TTL e il numero di record.

I metadati di rete DNS sono fondamentali per la ricerca delle minacce perché consentono di individuare infrastrutture di staging, fluttuazioni dei domini, attività di ricognizione e tentativi falliti di callback senza bisogno di ispezionare il payload.

I metadati DNS consentono di avere una visione d'insieme su:

• Quali domini sono stati consultati e da chi
  
• Se la ricorsione era stata richiesta o era disponibile
  
• In che modo sono state fornite le risposte autorevoli
  
• Quali codici di risposta e valori TTL sono stati rilevati

Utilizza l'analisi forense dei metadati DNS per interpretare l'intento e il risultato, cosa è stato richiesto, cosa è stato restituito e se la risoluzione ha dato esito negativo, quindi passa ai metadati TLS o HTTP per ampliare l'analisi.

Campi dei metadati HTTP e attributi della sessione web

I metadati HTTP riassumono il comportamento a livello web senza memorizzare i payload completi. Questi campi rilevano il contesto derivato dalle intestazioni, i metodi, gli URI, gli indicatori di inoltro tramite proxy, gli attributi di identificazione e le metriche direzionali relative a byte e pacchetti.

Nelle indagini sui metadati di rete, i campi HTTP forniscono un contesto a livello di applicazione per l'individuazione delle minacce, inclusi trasferimenti di file sospetti, callback automatizzati e strutture di intestazione anomale.

Utilizzare i metadati HTTP per ricostruire il comportamento sul web, quindi metterli in relazione con i metadati DNS e TLS per confermare l'identità della destinazione e le caratteristiche di crittografia.

Metadati di connettività iSession e attributi di rete a livello di sessione

I metadati iSession definiscono il modello di sessione normalizzato utilizzato in tutti i protocolli. Essi rilevano lo stato della connessione, l'affidabilità direzionale, gli indicatori temporali, le varianti di fingerprinting, il contesto VLAN e il conteggio direzionale di byte/pacchetti.

Questa astrazione a livello di sessione consente un arricchimento scalabile dei metadati standardizzando la modalità di rappresentazione dei metadati di rete, indipendentemente dal protocollo.

Considera iSession come il fulcro della ricerca delle minacce. Assicura una continuità stabile delle sessioni tra i diversi tipi di metadati relativi a protocolli, autenticazione e rilevamento.

Valori dello stato della connessione e indicatori del ciclo di vita della sessione TCP

I valori dello stato della connessione indicano l'andamento di una sessione: stabilita, rifiutata, ripristinata, semi-aperta o incompleta. Questi indicatori sono tipi di metadati comportamentali che rivelano attività di scansione, sondaggio, comunicazioni instabili o sessioni interrotte.

Utilizza gli stati del ciclo di vita insieme ai campi relativi alla tempistica e al volume per stabilire le priorità dei modelli di ricognizione durante l'analisi forense dei metadati.

Campi dei metadati Kerberos e attributi dei ticket di autenticazione

I metadati Kerberos registrano l'emissione dei ticket, il tipo di autenticazione, la valutazione dei privilegi, la negoziazione dell'algoritmo di cifratura e gli stati di successo o errore. Questi tipi di metadati a livello di identità sono fondamentali per individuare l'uso improprio delle credenziali e l'escalation dei privilegi.

I metadati Kerberos consentono di avere una visione d'insieme su:

• Livelli di autorizzazione per account e servizi (basso, medio, alto)
  
• Tipi di richiesta e risposta dei ticket (AS, TGT)
  
• Utilizzo e negoziazione degli algoritmi di crittografia
  
• Condizioni di autenticazione riuscita e di errore

Utilizza le categorie di privilegi e i tipi di richiesta per concentrare la ricerca delle minacce su account e servizi ad alto impatto, per poi passare alla telemetria LDAP o di sessione a scopo di verifica.

Campi dei metadati LDAP e attributi delle query di directory

I metadati LDAP riassumono il comportamento delle operazioni di ricerca e di binding nella directory, inclusi l'ambito della query, la selezione degli attributi, il numero di risultati e le condizioni di errore.

L'analisi forense dei metadati delle directory è particolarmente utile per individuare le operazioni di enumerazione che precedono gli abusi legati all'autenticazione.

Utilizza il volume dei risultati e i modelli di errore per distinguere le ricerche di routine dalle attività di individuazione su larga scala nell'ambito dei flussi di lavoro di threat hunting.

Match i campi Match e gli attributi delle firme di allerta

Match rappresentano i risultati valutati del rilevamento, piuttosto che i dati telemetrici grezzi. Questi tipi di metadati descrivono l'identità della firma, la gravità, lo stato di revisione, l'ambito di distribuzione e il contesto del pacchetto.

Questo livello riflette il modo in cui i metadati di rete sono stati interpretati dalla logica di rilevamento.

Utilizza i metadati della corrispondenza per capire perché si è attivato un rilevamento, quindi torna ai metadati del protocollo e della sessione sottostanti per ricostruire l'intero evento.

Campi dei metadati NTLM e attributi della risposta di autenticazione

I metadati NTLM registrano i tentativi di autenticazione e i relativi risultati, inclusi host, dominio, nome utente, codice di stato e esito dell'operazione.

In contesti in cui NTLM rimane attivo, questi tipi di metadati sono fondamentali per individuare eventuali abusi dell'autenticazione di fallback.

Utilizza i fallimenti ripetuti o i modelli di successo anomali come segnali per l'individuazione delle minacce, quindi effettua una correlazione con i metadati SMB o RDP.

Campi dei metadati RDP e attributi delle sessioni di desktop remoto

I metadati RDP registrano le caratteristiche delle sessioni remote interattive, tra cui l'identità del client, la versione, le impostazioni di visualizzazione e gli indicatori di crittografia.

Questi tipi di metadati consentono di analizzare i modelli di accesso amministrativo senza decriptare i contenuti.

Identificare i modelli di accesso remoto previsti e segnalare eventuali anomalie durante l'analisi forense dei metadati.

Campi dei metadati RADIUS e attributi di contabilizzazione dell'autenticazione

I record di metadati RADIUS registrano le operazioni di autenticazione e di contabilizzazione relative al controllo degli accessi, inclusi gli identificatori di sessione, la durata, i contatori di pacchetti/byte, l'indirizzamento e gli indicatori di policy.

Questi tipi di metadati di rete consentono di tracciare i percorsi di accesso remoto tramite VPN, NAC o sistemi wireless.

Utilizzare i campi di contesto contabili e NAS per verificare l'ambito e la durata dell'accesso prima di passare all'analisi delle attività SMB o RDP.

Campi estesi dei metadati RADIUS e attributi di controllo dell'accesso alla rete

I metadati RADIUS estesi forniscono ulteriori dettagli sul dispositivo e sul contesto di applicazione: identificatori e porte NAS, timeout di sessione e di inattività, endpoint del tunnel, indicatori di origine esterna, tempi di risposta e l'eventuale rilevamento di campi sensibili (come la password). Questi campi aiutano a comprendere come sono state attuate le decisioni relative all'accesso.

Utilizza il NAS e il contesto del tunnel per individuare con precisione dove è stato concesso l'accesso, quale servizio è stato richiesto e per quanto tempo è rimasto attivo; ciò risulta particolarmente utile quando si tracciano i percorsi di accesso remoto verso attività SMB/RDP interne.

Campi dei metadati dei file SMB e attributi delle operazioni sui file

I metadati dei file SMB registrano le operazioni a livello di file, tra cui la creazione, la ridenominazione, il comportamento di eliminazione alla chiusura, il contesto del percorso, la versione SMB e l'attribuzione all'utente.

Questi tipi di metadati sono fondamentali per le indagini relative al ransomware e alla diffusione laterale.

Utilizza le azioni sui file e i modelli di rinominazione per individuare comportamenti dannosi durante la ricerca delle minacce.

Campi dei metadati di mappatura SMB e attributi di connessione condivisa

I metadati di mappatura SMB rilevano le connessioni ad albero e l'accesso alle condivisioni prima dell'interazione con i file.

Questo livello consente di arricchire i metadati collegando l'identità dell'utente al contesto di accesso condiviso.

Utilizza gli eventi di mappatura per stabilire la genealogia degli accessi prima di analizzare le operazioni a livello di file.

Campi dei metadati SMTP e attributi dell'intestazione delle e-mail

I metadati SMTP acquisiscono gli attributi dell'intestazione dei messaggi e i risultati dell'autenticazione, inclusi SPF, DKIM, DMARC, l'utilizzo di TLS e l'IP di origine. I metadati di rete relativi alle e-mail supportano l'individuazione delle minacce per individuare phishing e comportamenti di mittenti falsificati.

Utilizzare i risultati dell'autenticazione e i metadati della catena di inoltro per la verifica forense della legittimità del mittente.

Campi dei metadati SSH e attributi di negoziazione delle sessioni crittografate

I metadati SSH registrano i dettagli della negoziazione, tra cui le versioni client/server, lo scambio di chiavi, la selezione dell'algoritmo di cifratura, l'algoritmo MAC e gli hash di identificazione. Questi tipi di metadati consentono di identificare strumenti amministrativi anomali e comportamenti non autorizzati della shell remota.

Utilizza i campi relativi agli algoritmi e alle impronte digitali per definire i parametri di riferimento degli strumenti amministrativi previsti e individuare client o modelli di negoziazione insoliti, quindi passa all'analisi della connettività della sessione per comprenderne la durata, la direzione e il volume per la stessa sessione SSH.

Campi dei metadati SSL/TLS e attributi delle sessioni crittografate

I metadati SSL/TLS registrano le caratteristiche della negoziazione dell'handshake e dello scambio di certificati per le sessioni crittografate. I campi riportati di seguito includono le versioni del protocollo, la suite di cifratura scelta, i parametri della curva, le estensioni client/server, gli identificatori dell'emittente e del soggetto, l'SNI e le impronte digitali JA3/JA4, oltre allo stato di instaurazione della connessione.

Utilizzare le impronte digitali TLS e il contesto SNI/certificato per identificare le implementazioni client/server e l'identità della destinazione, quindi passare al formato X.509 per esaminare le proprietà del certificato e la copertura SAN ai fini di un'analisi più approfondita dell'affidabilità.

Campi dei metadati dei certificati X.509 e attributi dei certificati digitali

I metadati X.509 registrano l'identità del certificato e le caratteristiche di affidabilità, tra cui la composizione del soggetto/emittente, i periodi di validità, i valori SAN, la lunghezza della chiave, l'algoritmo di firma e l'impronta digitale JA4X. Questi tipi di metadati consentono l'analisi forense dei metadati basata sui certificati e l'individuazione di infrastrutture sospette.

Utilizzare gli attributi X.509 per valutare il livello di affidabilità e i modelli di riutilizzo, quindi incrociare i dati con i metadati TLS e DNS per completare la catena investigativa.