Problem
Klient korzystał już z Suricaty. Detekcja sygnaturowa oparta na deep packet inspection dawała mu wysokiej pewności trafienia dotyczące znanego malware, exploitów i ruchu command-and-control — w momencie, gdy pakiet pasował do reguły, zespół znał zagrożenie z nazwy. Brakowało jednak wiedzy o tym, co działo się wokół tego zdarzenia.
Suricata widzi „tu i teraz”. Analizuje pakiet, który ma przed sobą, i przechodzi dalej; nie przechowuje historii, baseline’u ani pamięci o tym, jak host zachowuje się normalnie. To twarde ograniczenie, a nie problem z tuningiem — a historia jest dokładnie tym, na czym opiera się analiza behawioralna. Wykrywanie powolnej exfiltracji, lateral movement czy cichego odchodzenia od normalnego wzorca zachowania zależy od zapisu zdarzeń w czasie, którego klient po prostu nie posiadał. W efekcie każdy signature hit pojawiał się jako nazwa bez historii: alert w osobnej konsoli, bez informacji o tym, co host robił wcześniej, co wydarzyło się później i czy był to pojedynczy event, czy widoczny fragment czegoś większego.
Wymaganiem nie była więc większa liczba detekcji. Wymaganiem był kontekst — zachować coverage sygnaturowy, w który klient już zainwestował, ale nadać mu pamięć: timeline za każdym trafieniem, baseline do oceny zdarzenia, otaczającą aktywność sieciową, która je wyjaśnia, oraz jedną taksonomię, która łączy wszystko w całość.
Wdrożenie
Nie zastąpiliśmy tego, co klient już miał — daliśmy temu miejsce. Suricata pozostała dokładnie tam, gdzie była. Brakująca warstwa znalazła się pod spodem, więc wdrożyliśmy Sycope, rozpoczęliśmy zbieranie flow z NetFlow/sFlow/IPFIX i pozwoliliśmy systemowi budować baseline’y oraz detekcję behawioralną, które mogą powstać tylko dzięki historii. Następnie wprowadziliśmy Suricatę jako pełnoprawne źródło detekcji. Każdy signature hit trafia teraz do Sycope razem z flow, na którym się pojawił, oraz z ustaleniami behawioralnymi z tego samego hosta i tego samego momentu, zmapowanymi do tych samych technik MITRE ATT&CK co pozostałe detekcje — jedno miejsce, jedna taksonomia.
Różnica jest widoczna w momencie analizy. Trafienie w znany wzorzec C2 nie ląduje już jako alert bez kontekstu w osobnej konsoli; pojawia się z dołączoną historią — co dany host robi normalnie, co robił przed i po zdarzeniu oraz czy sygnatura jest odizolowanym eventem, czy jednym ruchem w dłuższej sekwencji. Nazwa pochodzi z Suricaty; historia, baseline i korelacja pochodzą z Sycope, a analityk widzi całość na jednym ekranie: jeden host, jedna oś czasu.
Utrzymanie aktualności i tuningu rulesetu pozostaje od tego momentu po naszej stronie w ramach Usług dedykowanych — dzięki temu coverage pozostaje precyzyjny, bez ponownego angażowania zespołu klienta w utrzymanie reguł.
Efektem jest detekcja, której klient już ufał, ale wreszcie wyposażona w pamięć: znane zagrożenia nadal są nazywane w chwili, gdy się pojawiają — ale teraz mają historię, baseline i korelację, które pokazują, co ta nazwa faktycznie oznacza.
