Encrypted Traffic Analysis (ETA)

Encrypted Traffic Analysis (ETA), czyli analiza ruchu szyfrowanego, to zestaw technik, które wykrywają zagrożenia i rozpoznają rodzaj ruchu w sieci, nie odszyfrowując połączeń. Zamiast czytać treść pakietów, ETA patrzy na to, co i tak widać z zewnątrz: jawne fragmenty nawiązywania połączenia TLS (np. wiadomość ClientHello), rozmiary i kolejność pakietów, odstępy czasu między nimi, dane z certyfikatów, zapytania DNS oraz pary adresów i portów. To trochę jak ocena przesyłki po kształcie, wadze i etykiecie, bez otwierania paczki. Na podstawie tych cech metody statystyczne i uczenie maszynowe (ML, czyli modele uczące się z danych) rozpoznają złośliwe oprogramowanie, komunikację z serwerami sterującymi atakiem (command-and-control, w skrócie C2), wyciek danych czy nietypowe zachowania — a treść połączenia pozostaje prywatna.

Dlaczego analiza ruchu szyfrowanego stała się potrzebna?

Dziś prawie cały ruch w firmach i w internecie jest szyfrowany protokołem TLS (to on stoi za HTTPS, a także za DoH i QUIC). Szyfrowanie chroni prywatność, ale tworzy też martwe pole dla starszych narzędzi, które wykrywały zagrożenia po treści (DPI, sygnatury IDS). Atakujący o tym wiedzą i celowo ukrywają złośliwy ruch w TLS, bo zaszyfrowanej treści obrońca i tak nie odczyta.

Można by odszyfrowywać wszystko na bramie sieciowej, ale to kosztowne, łamie zabezpieczenia aplikacji (tzw. certificate pinning), narusza prywatność i bywa niezgodne z przepisami. ETA rozwiązuje ten problem inaczej: przywraca widoczność, nie zaglądając do treści.

Jak działa Encrypted Traffic Analysis?

ETA korzysta z cech połączenia, które widać mimo szyfrowania. Najczęściej są to:

• Dane z nawiązywania połączenia TLS — wiadomości ClientHello i ServerHello idą jawnie, jeszcze przed zaszyfrowaniem. Zawierają wersję protokołu, listę obsługiwanych algorytmów szyfrowania (cipher suites), rozszerzenia i inne ustawienia. Taki zestaw jest charakterystyczny dla konkretnej aplikacji albo biblioteki.
• Odcisk palca połączenia (JA3/JA4) — JA3 zbiera wybrane pola z ClientHello, układa je w ustalonej kolejności i zamienia na krótki kod (skrót MD5). Powstaje kompaktowy identyfikator klienta; jego odpowiednik dla serwera to JA3S. Nowsza rodzina JA4+ jest czytelna dla człowieka, trudniejsza do podrobienia, lepiej radzi sobie z losowaniem ustawień w przeglądarkach i obejmuje też QUIC oraz DTLS.
• SPLT, czyli sekwencja rozmiarów i czasów pakietów (z ang. Sequence of Packet Lengths and Times) — kolejne rozmiary pakietów i odstępy między nimi tworzą charakterystyczny rytm sesji, często unikalny dla danej aplikacji lub rodziny złośliwego oprogramowania.
• Rozkład bajtów i pierwszy pakiet danych — statystyka wartości bajtów oraz początkowy pakiet połączenia niosą sygnał przydatny do klasyfikacji, również bez odszyfrowania.
• Dane z certyfikatu — kto go wystawił i komu, jak długo jest ważny, czy jest samopodpisany, czy domena się zgadza i czy nie został wystawiony przed chwilą. Takie sygnały bywają tropem prowadzącym do infrastruktury atakującego.
• Kontekst sieciowy — zapytania DNS (w tym ich nadużycie do ukrytej transmisji, czyli tunelowanie DNS), nazwa serwera SNI, pary adres/port, czas i kierunek sesji oraz beaconing, czyli regularne łączenie się w równych odstępach.

Zebrane cechy trafiają do modeli uczenia maszynowego. Część z nich jest trenowana na oznaczonych przykładach (ruch złośliwy kontra normalny), a część uczy się typowego zachowania hosta, użytkownika lub aplikacji i sygnalizuje odstępstwa od tej normy.

Czym ETA różni się od odszyfrowywania ruchu (TLS inspection)?

Odszyfrowywanie ruchu (TLS/SSL inspection) działa inaczej: serwer pośredniczący przerywa połączenie, odszyfrowuje treść, sprawdza ją i szyfruje ponownie. Daje pełny wgląd w zawartość, ale wymaga zainstalowania własnego certyfikatu na urządzeniach, mocno obciąża sprzęt, koliduje z zabezpieczeniami aplikacji (certificate pinning) oraz rodzi ryzyka prywatności i zgodności z przepisami.

ETA robi coś przeciwnego: nie odszyfrowuje niczego i wnioskuje z metadanych oraz zachowania. W praktyce oba podejścia dobrze się uzupełniają. Odszyfrowywanie warto stosować w wybranych, dozwolonych punktach, a ETA obejmuje cały ruch — także ten, którego nie wolno albo nie da się odszyfrować.

Jakie zagrożenia wykrywa ETA?

• Złośliwe oprogramowanie łączące się przez TLS — po charakterystycznym odcisku palca bibliotek i narzędzi, których używa.
• Komunikacja z serwerami sterującymi atakiem (C2) — beaconing, nietypowe odstępy czasu, połączenia do świeżo zarejestrowanej lub podejrzanej infrastruktury.
• Wyciek danych — nietypowa ilość i kierunek ruchu, np. długie sesje wychodzące o dziwnym rozkładzie rozmiarów pakietów.
• Tunelowanie DNS — wykorzystanie zapytań DNS jako ukrytego kanału do przesyłania danych.
• Nieautoryzowane aplikacje (shadow IT) — rozpoznanie, jaka aplikacja działa, mimo szyfrowania.
• Nietypowe zachowanie urządzeń IoT/OT — odstępstwa od ich zwykle przewidywalnych, wąskich wzorców łączności.

Jaką rolę odgrywa ETA w NDR i monitoringu sieci?

ETA to jeden z filarów Network Detection and Response (NDR), czyli wykrywania i reagowania na zagrożenia na poziomie sieci. Skoro ruch szyfrowany dominuje, bez analizy metadanych NDR widziałby tylko część tego, co się dzieje.

ETA dostarcza dane i wykrycia, które potem łączy się z innymi źródłami: przepływami sieciowymi (NetFlow/IPFIX), logami, danymi z SIEM oraz alertami z IDS/IPS. Wyniki trafiają do analityków w centrum bezpieczeństwa (SOC) i mogą uruchamiać automatyczną reakcję, np. odcięcie zainfekowanego hosta, w narzędziach typu SOAR. Dane zbiera się zwykle z sond sieciowych, portów lustrzanych i podsłuchów (TAP) albo z firewalli i serwerów proxy, które wysyłają metadane do centralnej platformy.

Jakie są ograniczenia ETA?

ETA nie jest cudownym lekiem. Wykrywanie po zachowaniu i ML generuje fałszywe alarmy, potrzebuje dobrych danych do nauki i traci formę, gdy sieć się zmienia. Odciski palca się starzeją: losowanie ustawień TLS w nowoczesnych przeglądarkach mocno osłabiło unikalność JA3 i było jednym z powodów powstania JA4+. Atakujący potrafią też celowo upodabniać swój ruch do zwykłych aplikacji. Dlatego ETA najlepiej traktować jako warstwę uzupełniającą — najsilniejszą w połączeniu z reputacją adresów, wiedzą o zagrożeniach (threat intelligence), kontekstem tożsamości i korelacją w NDR/SIEM, a nie jako samodzielny mechanizm.

Dowiedz się więcej

• Monitoring sieci i network visibility – analiza ruchu sieciowego jako podstawa visibility cybersecurity — ETA opiera się na widoczności ruchu sieciowego, nawet gdy jego treść jest zaszyfrowana.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — ETA może ujawniać nietypowe wzorce połączeń wskazujące na ataki typu MITM, w tym ARP spoofing.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow dostarcza metadane, które ETA analizuje zamiast odszyfrowywać samą treść pakietów.
• NDR vs SIEM vs XDR – różnice NDR XDR, NDR vs SIEM i wybór systemu monitoringu sieci — ETA jest typową techniką stosowaną w NDR do analizy ruchu bez dostępu do treści sesji.
• UEBA (User and Entity Behavior Analytics) — ETA uzupełnia UEBA, bo dostarcza cech ruchu potrzebnych do oceny zachowań użytkowników i encji.