Campi dei metadati relativi alla sicurezza della rete in Vectra AI

Questa pagina fornisce un riferimento strutturato dei campi dei metadati di sicurezza della rete utilizzati nella Vectra AI . Definisce gli attributi comuni dello schema, i campi di connettività a livello di sessione, la telemetria specifica del protocollo (DNS, HTTP, SMB, LDAP, ecc.), i metadati di autenticazione (Kerberos, NTLM, RADIUS), gli attributi di corrispondenza a livello di rilevamento e le impronte digitali delle comunicazioni crittografate (SSL/TLS, SSH, X.509). Questi flussi di metadati normalizzati consentono l'analisi comportamentale, la correlazione tra domini e la visibilità del traffico crittografato senza richiedere l'acquisizione completa dei pacchetti. Insieme, costituiscono la base per l'osservabilità della rete scalabile e l'indagine sulla sicurezza in ambienti aziendali ibridi.

Questi flussi di metadati normalizzati supportano la ricerca delle minacce, l'arricchimento dei metadati e l'analisi forense dei metadati consentendo l'analisi comportamentale, la correlazione tra domini e la visibilità del traffico crittografato, senza richiedere l'acquisizione completa dei pacchetti. Insieme, costituiscono la base per l'osservabilità e l'indagine scalabile della rete in ambienti aziendali ibridi.

Campi metadati di rete comuni a tutti i flussi di telemetria (eccetto DHCP)

Questi campi compaiono in quasi tutti i flussi di metadati e definiscono lo schema di connessione condiviso utilizzato tra i diversi tipi di metadati. Essi acquisiscono gli identificatori di origine e di risposta, le porte, i nomi host, i flag di località, l'attribuzione dei sensori, i timestamp e un UID di connessione stabile.

Considerate questi campi come chiavi di join di base. Essi fungono da punto di riferimento per i flussi di lavoro di arricchimento dei metadati, consentendo di ricollegare i record relativi a protocolli, autenticazioni e rilevamenti alla stessa sessione ed entità. Nella ricerca delle minacce e nell'analisi forense dei metadati, questa coerenza consente un'affidabile rotazione tra i livelli di telemetria.

La maggior parte delle tabelle di protocollo che seguono estendono questo schema ereditando questo contesto condiviso. Ciò preserva l'integrità dell'attribuzione e la continuità della sessione attraverso i flussi di metadati di rete.

Campi dei metadati dei beacon e modelli di comunicazione comportamentale

I metadati del beacon descrivono le comunicazioni ripetute tra un'origine e una destinazione in più sessioni. I campi sottostanti riportano l'identificatore del beacon, i limiti temporali, il conteggio delle sessioni, il volume di byte per direzione, il contesto del protocollo/servizio e l'impronta digitale del client utilizzata per riassumere il modello.

L'analisi dei beacon viene spesso utilizzata nella ricerca delle minacce per identificare callback di comando e controllo, loop di automazione e comunicazioni in uscita persistenti. Anziché ispezionare i pacchetti, gli analisti si affidano a tipi di metadati che descrivono periodicità e coerenza.

Utilizza questi campi per valutare la durata, la frequenza e il volume direzionale. Quindi passa ai metadati DNS, HTTP o SSL/TLS per ottenere un contesto comportamentale più approfondito durante l'analisi forense dei metadati.

Smetti di cercare il "cosa" dietro i rilevamenti di rete

Il beaconing è solo un segnale comportamentale. Quando vengono attivati metadati di rete sospetti, gli analisti devono comunque capire quale endpoint o identità endpoint li ha generati. Senza questo collegamento, le indagini si bloccano.

Vedi correlazione endpoint

Campi metadati DCE-RPC e attributi di chiamata di procedura remota

I metadati DCE-RPC acquisiscono il comportamento delle chiamate di procedura remota comunemente associate all'amministrazione di Windows e all'interazione dei servizi. Questi campi codificano il contesto del dominio, endpoint , le operazioni invocate, l'attribuzione del nome utente e i tempi di richiesta/risposta.

Nella ricerca delle minacce, i metadati DCE-RPC aiutano a individuare sequenze di esecuzione remota anomale e modelli di utilizzo dei privilegi senza richiedere endpoint .

Utilizzare i nomi delle operazioni e il contesto nome utente/host per distinguere i flussi di lavoro amministrativi di routine dalle attività di movimento laterale durante l'analisi forense dei metadati.

Campi metadati DHCP e attributi di configurazione di rete

I metadati DHCP registrano gli indirizzi dinamici e le assegnazioni di configurazione che collocano i dispositivi sulla rete. Questi tipi di metadati collegano gli IP assegnati agli indirizzi MAC e ai nomi host, registrando al contempo la durata del lease e l'attribuzione del server DHCP/DNS.

Poiché il turnover degli indirizzi IP complica le indagini, i registri DHCP forniscono un arricchimento essenziale dei metadati per mantenere la continuità dell'attribuzione.

Utilizza i campi DHCP per stabilizzare le indagini quando gli indirizzi IP cambiano, ancorando l'identità agli attributi a livello di dispositivo piuttosto che all'indirizzamento effimero.

Campi dei metadati DNS e attributi delle risposte alle query

I metadati DNS rappresentano il comportamento di risoluzione dei domini, inclusi l'intento della query, la gestione della ricorsione, i codici di risposta, i flag di troncamento, i valori TTL e il conteggio dei record.

I metadati della rete DNS sono fondamentali per la ricerca delle minacce perché rivelano l'infrastruttura di staging, il domain fluxing, la ricognizione e i tentativi di callback falliti senza ispezione del payload.

I metadati DNS consentono la visibilità su:

• Quali domini sono stati interrogati e da chi
  
• Se la ricorsione è stata richiesta o è disponibile
  
• Come sono state restituite le risposte autorevoli
  
• Quali codici di risposta e valori TTL sono stati osservati

Utilizza l'analisi forense dei metadati DNS per interpretare l'intento e il risultato, cosa è stato interrogato, cosa è stato restituito e se la risoluzione ha avuto esito negativo, quindi passa ai metadati TLS o HTTP per estendere l'analisi.

Campi metadati HTTP e attributi della sessione web

I metadati HTTP riassumono il comportamento del livello web senza memorizzare i payload completi. Questi campi acquisiscono il contesto derivato dall'intestazione, i metodi, gli URI, gli indicatori di inoltro proxy, gli attributi di fingerprinting e le metriche direzionali di byte/pacchetti.

Nelle indagini sui metadati di rete, i campi HTTP forniscono un contesto a livello di applicazione per la ricerca delle minacce, inclusi trasferimenti di file sospetti, callback scriptati e strutture di intestazione anomale.

Utilizza i metadati HTTP per ricostruire il comportamento web, quindi correla i tipi di metadati DNS e TLS per confermare l'identità della destinazione e le caratteristiche di crittografia.

Metadati di connettività iSession e attributi di rete a livello di sessione

I metadati iSession definiscono il modello di sessione normalizzato utilizzato nei vari protocolli. Essi acquisiscono lo stato della connessione, l'affidabilità direzionale, i marcatori temporali, le varianti di fingerprinting, il contesto VLAN e il conteggio direzionale di byte/pacchetti.

Questa astrazione a livello di sessione consente un arricchimento scalabile dei metadati standardizzando la rappresentazione dei metadati di rete, indipendentemente dal protocollo.

Considera iSession come il fulcro durante la ricerca delle minacce. Fornisce una continuità di sessione stabile tra i tipi di metadati relativi a protocolli, autenticazione e rilevamento.

Valori dello stato della connessione e indicatori del ciclo di vita della sessione TCP

I valori dello stato della connessione codificano l'andamento di una sessione: stabilita, rifiutata, ripristinata, semiaperta o incompleta. Questi indicatori sono tipi di metadati comportamentali che rivelano scansioni, sondaggi, comunicazioni instabili o sessioni interrotte.

Utilizza gli stati del ciclo di vita insieme ai campi relativi alla tempistica e al volume per dare priorità ai modelli di ricognizione durante l'analisi forense dei metadati.

Campi metadati Kerberos e attributi dei ticket di autenticazione

I metadati Kerberos acquisiscono l'emissione dei ticket, il tipo di autenticazione, il punteggio dei privilegi, la negoziazione della crittografia e gli stati di successo/errore. Questi tipi di metadati a livello di identità sono essenziali per rilevare l'uso improprio delle credenziali e l'escalation dei privilegi.

I metadati Kerberos consentono la visibilità su:

• Livelli di privilegio dell'account e del servizio (basso, medio, alto)
  
• Tipi di richiesta e risposta dei ticket (AS, TGT)
  
• Utilizzo e negoziazione dei codici di crittografia
  
• Condizioni di autenticazione riuscita ed errore

Utilizza le categorie di privilegi e i tipi di richiesta per concentrare la ricerca delle minacce sugli account e sui servizi ad alto impatto, quindi passa a LDAP o alla telemetria delle sessioni per la convalida.

Campi metadati LDAP e attributi di query della directory

I metadati LDAP riassumono il comportamento della ricerca nella directory e del binding, inclusi l'ambito della query, la selezione degli attributi, il conteggio dei risultati e le condizioni di errore.

L'analisi forense dei metadati delle directory è particolarmente utile per identificare l'enumerazione che precede l'abuso dell'autenticazione.

Utilizza il volume dei risultati e i modelli di errore per distinguere le ricerche di routine dalle scoperte su larga scala durante i flussi di lavoro di ricerca delle minacce.

Match i campi Match e gli attributi delle firme di avviso

Match rappresentano il risultato della valutazione del rilevamento piuttosto che la telemetria grezza. Questi tipi di metadati descrivono l'identità della firma, la gravità, lo stato di revisione, l'ambito di distribuzione e il contesto del pacchetto.

Questo livello riflette il modo in cui i metadati di rete sono stati interpretati dalla logica di rilevamento.

Utilizza i metadati di corrispondenza per capire perché è stato attivato un rilevamento, quindi torna ai metadati del protocollo e della sessione sottostanti per una ricostruzione completa.

Campi metadati NTLM e attributi di risposta di autenticazione

I metadati NTLM acquisiscono i tentativi di autenticazione e i relativi risultati, inclusi host, dominio, nome utente, codice di stato e stato di successo.

Negli ambienti in cui NTLM rimane attivo, questi tipi di metadati sono importanti per identificare gli abusi dell'autenticazione di fallback.

Utilizza i fallimenti ripetuti o i modelli di successo anomali come segnali di ricerca delle minacce, quindi correla i dati con i metadati SMB o RDP.

Campi metadati RDP e attributi della sessione desktop remoto

I metadati RDP acquisiscono gli attributi delle sessioni remote interattive, tra cui l'identità del client, il versioning, le caratteristiche di visualizzazione e gli indicatori di crittografia.

Questi tipi di metadati supportano l'analisi dei modelli di accesso amministrativo senza decrittografare i contenuti.

Modelli di accesso remoto previsti di base e segnalazione delle deviazioni durante l'analisi forense dei metadati.

Campi metadati RADIUS e attributi di autenticazione e contabilità

I metadati RADIUS registrano il comportamento di autenticazione e contabilità del controllo degli accessi, inclusi identificatori di sessione, durata, contatori di pacchetti/byte, indirizzamento e indicatori di policy.

Questi tipi di metadati di rete aiutano a tracciare i percorsi di accesso remoto tramite VPN, NAC o sistemi wireless.

Utilizza i campi contabili e NAS per verificare l'ambito e la durata dell'accesso prima di passare alle attività SMB o RDP.

Campi metadati RADIUS estesi e attributi di controllo dell'accesso alla rete

I metadati RADIUS estesi aggiungono il contesto relativo al dispositivo e all'applicazione: identificatori e porte NAS, timeout di sessione e di inattività, endpoint del tunnel, indicatori di origine esterna, tempi di risposta e presenza di campi sensibili (come la password). Questi campi aiutano a interpretare come sono state implementate le decisioni di accesso.

Utilizza il contesto NAS e tunnel per individuare con precisione dove è stato concesso l'accesso, quale servizio è stato richiesto e per quanto tempo è durato, particolarmente utile quando si tracciano i percorsi di accesso remoto nelle attività SMB/RDP interne.

Campi dei metadati dei file SMB e attributi delle operazioni sui file

I metadati dei file SMB acquisiscono le operazioni a livello di file, tra cui creazione, rinominazione, comportamento di eliminazione alla chiusura, contesto del percorso, versione SMB e attribuzione dell'utente.

Questi tipi di metadati sono fondamentali per le indagini relative al ransomware e allo staging laterale.

Utilizza le azioni sui file e i modelli di rinominazione per identificare comportamenti distruttivi durante la ricerca delle minacce.

Campi dei metadati di mappatura SMB e attributi di connessione condivisa

I metadati di mappatura SMB acquisiscono le connessioni ad albero e condividono l'accesso prima dell'interazione con i file.

Questo livello arricchisce i metadati collegando l'identità dell'utente al contesto di condivisione dell'accesso.

Utilizza gli eventi di mappatura per stabilire la provenienza degli accessi prima di analizzare le operazioni a livello di file.

Campi metadati SMTP e attributi dell'intestazione delle e-mail

I metadati SMTP acquisiscono gli attributi dell'intestazione delle e-mail e i risultati dell'autenticazione, inclusi SPF, DKIM, DMARC, utilizzo di TLS e IP di origine. I metadati di rete relativi alle e-mail supportano la ricerca delle minacce per phishing e il comportamento dei mittenti falsificati.

Utilizza i risultati dell'autenticazione e i metadati della catena di trasmissione per la convalida forense della legittimità del mittente.

Campi metadati SSH e attributi di negoziazione della sessione crittografata

I metadati SSH acquisiscono i dettagli della negoziazione, tra cui le versioni client/server, lo scambio di chiavi, la selezione della crittografia, l'algoritmo MAC e gli hash delle impronte digitali. Questi tipi di metadati supportano l'identificazione di strumenti amministrativi anomali e comportamenti non autorizzati della shell remota.

Utilizza i campi algoritmo e impronta digitale per definire gli strumenti amministrativi previsti e identificare clienti o modelli di negoziazione insoliti, quindi passa alla connettività della sessione per comprendere la durata, la direzione e il volume della stessa sessione SSH.

Campi metadati SSL/TLS e attributi di sessione crittografati

I metadati SSL/TLS acquisiscono le caratteristiche della negoziazione dell'handshake e dello scambio di certificati per le sessioni crittografate. I campi sottostanti includono le versioni del protocollo, la suite di cifratura scelta, i parametri della curva, le estensioni client/server, gli identificatori dell'emittente/soggetto, SNI e le impronte digitali JA3/JA4, oltre allo stato di stabilizzazione.

Utilizza le impronte digitali TLS e il contesto SNI/certificato per identificare le implementazioni client/server e l'identità di destinazione, quindi passa a X.509 per ispezionare le proprietà del certificato e la copertura SAN per un'analisi di affidabilità più approfondita.

Campi dei metadati dei certificati X.509 e attributi dei certificati digitali

I metadati X.509 registrano l'identità del certificato e le caratteristiche di affidabilità, tra cui la composizione del soggetto/emittente, i periodi di validità, i valori SAN, la lunghezza della chiave, l'algoritmo di firma e l'impronta digitale JA4X. Questi tipi di metadati supportano l'analisi forense dei metadati basata sui certificati e il rilevamento di infrastrutture sospette.

Utilizza gli attributi X.509 per valutare il livello di affidabilità e riutilizzare i modelli, quindi ricollegali ai metadati TLS e DNS per completare la catena investigativa.