How To Threat Hunt in Encrypted Network Traffic

https://www.youtube.com/watch?v=qUAY9nUOpoo&feature=youtu.be&t=368s

  • HASSH可以输出ssh客户端和服务器的指纹，正如JA3提取和识别客户端和服务器之间的TLS协商的指纹。

  • Corelight research team通过ssh握手，网络流，时间特征，报文大小，和统计学规律来推断ssh内部数据

  • Corelight的系统可以推断出ssh文件上传/下载，key stroke，端口扫描，暴力破解，认证绕过等动作。

  • Corelight系统提供以上这些功能，但开源zeek和其packages没有该推断的功能。

  • 业界通过ja3和ja3s来识别勒索软件的横向通信，但目前malware大多通过custom protocol进行通信，他们甚至不需要认证握手，直接交流。

  • Corelight提出并实现了两种加密检测方式

在标准端口的明文流量（如443端口的明文）
不握手直接通信的加密流量

©著作权归作者所有,转载或内容合作请联系作者
平台声明：文章内容（如有图片或视频亦包括在内）由作者上传并发布，文章内容仅代表作者本人观点，简书系信息发布平台，仅提供信息存储服务。

推荐阅读更多精彩内容