از عدد تا کد

در یک شبکه کامپیوتری، دستگاه‌ها به‌طور مداوم در حال ارسال و دریافت اطلاعات هستند. باز شدن یک صفحه وب، ارسال ایمیل، دانلود فایل، استفاده از نرم‌افزارهای سازمانی یا حتی به‌روزرسانی خودکار سیستم‌عامل، همگی باعث ایجاد ترافیک شبکه می‌شوند. بنابراین وجود ترافیک زیاد لزوماً به معنی وجود مشکل امنیتی نیست. مسئله زمانی اهمیت پیدا می‌کند که الگوی ترافیک شبکه بدون دلیل مشخص تغییر کند یا ارتباطاتی مشاهده شود که با رفتار معمول کاربران و تجهیزات سازگار نیست.
شناسایی چنین رفتارهایی یکی از بخش‌های مهم نظارت بر امنیت شبکه است. مدیر شبکه با بررسی حجم داده‌ها، مقصد ارتباطات، زمان برقراری اتصال، نوع پروتکل و رفتار دستگاه‌ها می‌تواند نشانه‌های احتمالی یک فعالیت مشکوک را زودتر شناسایی کند. به همین دلیل، تحلیل ترافیک شبکه در مباحث کلاس امنیت شبکه رشت و آموزش‌های تخصصی امنیت سایبری نیز اهمیت زیادی دارد.

ترافیک غیرعادی شبکه چیست؟

ترافیک غیرعادی به ارتباطات یا الگوهایی گفته می‌شود که با رفتار معمول شبکه تفاوت قابل توجهی دارند. برای مثال، اگر یک کامپیوتر اداری که معمولاً فقط در ساعات کاری فعالیت می‌کند، نیمه‌شب حجم زیادی از اطلاعات را به یک مقصد ناشناخته ارسال کند، این رفتار می‌تواند نیازمند بررسی باشد.
نمونه دیگری از رفتار غیرعادی، افزایش ناگهانی تعداد درخواست‌ها از یک دستگاه است. همچنین برقراری ارتباط مکرر با تعداد زیادی IP ناشناخته، تلاش‌های متعدد برای اتصال به پورت‌های مختلف یا انتقال حجم زیادی از داده‌ها می‌تواند از جمله نشانه‌هایی باشد که مدیر شبکه باید آن‌ها را بررسی کند.
البته هیچ‌کدام از این موارد به‌تنهایی اثبات نمی‌کنند که شبکه مورد حمله قرار گرفته است. ممکن است یک نرم‌افزار قانونی، سرویس ابری یا فرآیند پشتیبان‌گیری باعث ایجاد چنین ترافیکی شده باشد.

چرا شناسایی ترافیک غیرعادی اهمیت دارد؟

یکی از مزایای مهم تحلیل ترافیک شبکه، امکان شناسایی تهدیدها پیش از ایجاد خسارت جدی است. برخی حملات سایبری ممکن است در ابتدا نشانه واضحی نداشته باشند و مهاجم تلاش کند فعالیت خود را شبیه رفتار عادی کاربران نشان دهد.
برای مثال، پس از آلوده شدن یک سیستم، بدافزار ممکن است با یک سرور خارجی ارتباط برقرار کند و اطلاعاتی را ارسال یا دستورات جدید دریافت کند. اگر این ارتباط‌ها به‌درستی پایش شوند، امکان شناسایی رفتار مشکوک افزایش پیدا می‌کند.
همچنین تحلیل ترافیک می‌تواند در شناسایی مشکلات غیرامنیتی مانند مصرف غیرعادی پهنای باند، خطاهای پیکربندی یا عملکرد نامناسب برخی سرویس‌ها نیز مفید باشد.

چه نشانه‌هایی می‌توانند نشان‌دهنده ترافیک غیرعادی باشند؟

یکی از مهم‌ترین نشانه‌ها افزایش ناگهانی حجم ترافیک است. اگر دستگاهی که معمولاً مقدار محدودی داده منتقل می‌کند، به‌صورت ناگهانی حجم بسیار زیادی از اطلاعات را ارسال کند، بهتر است علت این تغییر بررسی شود.
ارتباط با مقصدهای ناشناخته نیز اهمیت دارد. اگر یک سیستم سازمانی به آدرس‌هایی متصل شود که برای فعالیت کاری آن سیستم منطقی نیستند، بررسی بیشتر می‌تواند ضروری باشد.
افزایش غیرمعمول درخواست‌های DNS، تلاش‌های مکرر برای اتصال به پورت‌های مختلف، ارتباط‌های مداوم در ساعات غیرکاری و ایجاد تعداد زیادی اتصال کوتاه‌مدت نیز می‌توانند الگوهایی باشند که ارزش بررسی دارند.

ایجاد Baseline برای رفتار عادی شبکه

برای تشخیص رفتار غیرعادی، ابتدا باید بدانیم رفتار عادی شبکه چگونه است. این مفهوم با عنوان Network Baseline شناخته می‌شود.
در یک Baseline مناسب، اطلاعاتی مانند حجم معمول ترافیک، ساعات اوج مصرف، سرویس‌های مورد استفاده، مقصدهای معمول ارتباطات و رفتار دستگاه‌های مختلف ثبت می‌شود.
برای مثال، ممکن است مشخص شود که سرور پشتیبان‌گیری هر شب بین ساعت ۲ تا ۳ بامداد حجم زیادی داده منتقل می‌کند. در چنین شرایطی، این افزایش ترافیک غیرعادی محسوب نمی‌شود، زیرا بخشی از رفتار معمول شبکه است.
اما اگر همان سرور در ساعت دیگری به یک مقصد ناشناخته حجم زیادی داده ارسال کند، این تغییر الگو می‌تواند برای بررسی بیشتر علامت‌گذاری شود.

بررسی حجم و جهت ترافیک

صرفاً مقدار ترافیک برای تحلیل امنیتی کافی نیست. باید مشخص شود ترافیک از کجا می‌آید و به کجا می‌رود.
برای مثال، افزایش دانلود اطلاعات ممکن است به دلیل یک به‌روزرسانی نرم‌افزاری باشد، اما ارسال ناگهانی حجم زیادی از اطلاعات از یک سیستم داخلی به یک مقصد خارجی می‌تواند شرایط متفاوتی داشته باشد.
به همین دلیل، تحلیل Inbound Traffic و Outbound Traffic هر دو اهمیت دارند. در برخی حملات، رفتار مشکوک بیشتر در ترافیک خروجی قابل مشاهده است؛ زیرا یک سیستم آلوده ممکن است با یک سرور خارجی ارتباط برقرار کند یا اطلاعاتی را ارسال کند.

نقش DNS در شناسایی رفتارهای مشکوک

DNS یکی از منابع ارزشمند برای تحلیل رفتار شبکه است. زمانی که یک سیستم قصد برقراری ارتباط با یک دامنه را دارد، معمولاً ابتدا درخواست DNS ارسال می‌کند.
بررسی درخواست‌های DNS می‌تواند اطلاعاتی درباره دامنه‌هایی که کاربران و تجهیزات به آن‌ها دسترسی دارند ارائه کند. تعداد غیرعادی درخواست‌ها، درخواست برای دامنه‌های غیرمعمول یا الگوهای عجیب در درخواست‌های DNS می‌توانند ارزش بررسی داشته باشند.
با این حال، تشخیص تهدید صرفاً بر اساس نام یک دامنه قابل اعتماد نیست و بهتر است اطلاعات DNS در کنار سایر داده‌های شبکه تحلیل شود.

استفاده از لاگ‌ها برای تحلیل ترافیک

لاگ‌های تجهیزات شبکه یکی از منابع مهم اطلاعاتی هستند. روترها، فایروال‌ها، سرورها و برخی تجهیزات امنیتی می‌توانند اطلاعات مربوط به ارتباطات و رویدادهای شبکه را ثبت کنند.
با بررسی این اطلاعات می‌توان متوجه شد چه دستگاهی، در چه زمانی، با چه مقصدی و از چه پروتکلی ارتباط برقرار کرده است.
در شبکه‌های بزرگ‌تر، جمع‌آوری متمرکز لاگ‌ها باعث می‌شود تحلیل رویدادها ساده‌تر شود. سیستم‌های مدیریت لاگ و SIEM نیز می‌توانند اطلاعات منابع مختلف را کنار یکدیگر قرار دهند و در شناسایی الگوهای مشکوک کمک کنند.

ابزارهای تشخیص ترافیک غیرعادی

برای تحلیل ترافیک شبکه ابزارهای مختلفی وجود دارد. Wireshark یکی از ابزارهای شناخته‌شده برای مشاهده و تحلیل Packetهای شبکه است و می‌تواند اطلاعات دقیقی درباره ارتباطات شبکه در اختیار متخصص قرار دهد.
در محیط‌های سازمانی، ابزارهای Network Monitoring، IDS و IPS نیز می‌توانند برای نظارت و شناسایی فعالیت‌های مشکوک مورد استفاده قرار گیرند.
همچنین برخی فایروال‌های پیشرفته قابلیت‌های بیشتری برای تحلیل ترافیک و شناسایی رفتارهای غیرمعمول ارائه می‌کنند. انتخاب ابزار مناسب به اندازه شبکه، نوع زیرساخت، حساسیت اطلاعات و نیازهای سازمان بستگی دارد.

آیا افزایش ترافیک همیشه نشانه حمله است؟

خیر. این یکی از مهم‌ترین نکات در تحلیل امنیتی است. افزایش مصرف پهنای باند می‌تواند دلایل کاملاً عادی داشته باشد؛ برای مثال دانلود یک فایل حجیم، به‌روزرسانی نرم‌افزارها، برگزاری جلسه آنلاین یا اجرای فرآیند پشتیبان‌گیری.
بنابراین نباید هر افزایش ترافیکی را به‌عنوان حمله سایبری در نظر گرفت. تحلیل امنیتی باید بر اساس مقایسه با رفتار معمول شبکه و بررسی چندین شاخص انجام شود.
هرچه اطلاعات بیشتری درباره دستگاه، کاربر، مقصد، زمان و نوع ارتباط داشته باشیم، امکان تشخیص دقیق‌تر نیز بیشتر خواهد بود.

چگونه در برابر ترافیک مشکوک واکنش نشان دهیم؟

پس از شناسایی یک الگوی مشکوک، اولین کار بررسی دقیق منبع و مقصد ترافیک است. باید مشخص شود کدام دستگاه این ارتباط را ایجاد کرده و آیا فعالیت موردنظر با وظیفه آن دستگاه مطابقت دارد یا خیر.
در صورت مشاهده نشانه‌های جدی، می‌توان دستگاه را به‌صورت موقت از بخش‌های حساس شبکه جدا کرد یا دسترسی آن را محدود کرد تا بررسی بیشتری انجام شود. در محیط‌های سازمانی بهتر است اقدامات واکنشی طبق Incident Response Plan انجام شوند تا از ایجاد اختلال غیرضروری جلوگیری شود.
همچنین بررسی لاگ‌ها، وضعیت پردازش‌های سیستم، حساب‌های کاربری و سایر ارتباطات دستگاه می‌تواند به پیدا کردن علت رفتار غیرعادی کمک کند.

جمع‌بندی

شناسایی ترافیک غیرعادی شبکه یکی از بخش‌های مهم امنیت سایبری است و می‌تواند به کشف زودهنگام برخی فعالیت‌های مشکوک کمک کند. بررسی حجم ترافیک، مقصد ارتباطات، درخواست‌های DNS، لاگ‌ها، پورت‌ها و رفتار معمول دستگاه‌ها از جمله روش‌هایی هستند که برای این کار مورد استفاده قرار می‌گیرند.
با این حال، هیچ شاخصی به‌تنهایی نمی‌تواند وقوع یک حمله را ثابت کند. ایجاد یک Baseline مناسب و مقایسه رفتار فعلی شبکه با الگوی معمول، در کنار استفاده از ابزارهای مانیتورینگ، فایروال، IDS و سایر راهکارهای امنیتی، دقت تحلیل را افزایش می‌دهد.
در نهایت، امنیت شبکه تنها به جلوگیری از ورود مهاجم محدود نمی‌شود؛ نظارت مستمر و توانایی تشخیص رفتار غیرعادی نیز بخش مهمی از یک راهکار امنیتی مؤثر است.