چرا Zeek برای مهندسی کشف ضروری است؟
یکی از مهم‌ترین اصول در Detection Engineering این است که پیش از نوشتن هر Rule از خود بپرسیم: Telemetry این رفتار کجاست؟ در بسیاری از حملات، پاسخ این سؤال در Network Telemetry قرار دارد و Zeek یکی از قدرتمندترین ابزارها برای تولید چنین داده‌ای است.
ابزار Zeek را نباید صرفاً یک IDS دانست. وظیفه مهم آن تبدیل ترافیک شبکه به مجموعه‌ای از داده‌های ساخت‌یافته و قابل تحلیل است. لاگ‌هایی مانند "conn.log"، "dns.log"، "http.log"، "ssl.log" و "files.log" به Detection Engineer اجازه می‌دهند رفتار ارتباطات شبکه را بدون وابستگی کامل به Payload مشاهده کند.
برای مثال، در کشف C2 Beaconing می‌توان تناوب ارتباطات، مقصد، مدت Session و حجم داده را بررسی کرد. در DNS Tunneling نیز طول Query، تعداد Subdomainها، Frequency و الگوهای غیرعادی DNS می‌توانند Telemetry لازم برای Detection را فراهم کنند.
تفاوت مهم Zeek با IDSهای Signature-based نیز همین‌جاست: سؤال اصلی فقط این نیست که «آیا ترافیک با یک Signature تطبیق دارد؟» بلکه این است که «در شبکه چه رفتاری اتفاق افتاده است؟»
در دنیای تجاری، Corelight نزدیک‌ترین گزینه به این فلسفه است. محصولاتی مانند ExtraHop و Vectra AI نیز بخشی از این نیاز را در قالب NDR پوشش می‌دهند.
یک Detection خوب از Rule شروع نمی‌شود؛ از شناخت رفتار مهاجم و پیدا کردن Telemetry مناسب آغاز می‌شود.
**دوره مهندسی کشف آکادمی روزبه
یکی از مهم‌ترین اصول در Detection Engineering این است که پیش از نوشتن هر Rule از خود بپرسیم: Telemetry این رفتار کجاست؟ در بسیاری از حملات، پاسخ این سؤال در Network Telemetry قرار دارد و Zeek یکی از قدرتمندترین ابزارها برای تولید چنین داده‌ای است.
ابزار Zeek را نباید صرفاً یک IDS دانست. وظیفه مهم آن تبدیل ترافیک شبکه به مجموعه‌ای از داده‌های ساخت‌یافته و قابل تحلیل است. لاگ‌هایی مانند "conn.log"، "dns.log"، "http.log"، "ssl.log" و "files.log" به Detection Engineer اجازه می‌دهند رفتار ارتباطات شبکه را بدون وابستگی کامل به Payload مشاهده کند.
برای مثال، در کشف C2 Beaconing می‌توان تناوب ارتباطات، مقصد، مدت Session و حجم داده را بررسی کرد. در DNS Tunneling نیز طول Query، تعداد Subdomainها، Frequency و الگوهای غیرعادی DNS می‌توانند Telemetry لازم برای Detection را فراهم کنند.
تفاوت مهم Zeek با IDSهای Signature-based نیز همین‌جاست: سؤال اصلی فقط این نیست که «آیا ترافیک با یک Signature تطبیق دارد؟» بلکه این است که «در شبکه چه رفتاری اتفاق افتاده است؟»
در دنیای تجاری، Corelight نزدیک‌ترین گزینه به این فلسفه است. محصولاتی مانند ExtraHop و Vectra AI نیز بخشی از این نیاز را در قالب NDR پوشش می‌دهند.
یک Detection خوب از Rule شروع نمی‌شود؛ از شناخت رفتار مهاجم و پیدا کردن Telemetry مناسب آغاز می‌شود.
**دوره مهندسی کشف آکادمی روزبه
Comments
Be the first to add a comment
Log in to comment