Wat is AI-gebaseerde versleutelde verkeersanalyse?

AI-gebaseerde versleutelde verkeersanalyse maakt gebruik van AI om verdachte of kwaadaardige versleutelde netwerkstromen te identificeren. Dit wordt over het algemeen bereikt door niet-versleutelde attributen van versleuteld netwerkverkeer te analyseren, met minimale of geen decryptie van de payload.

Versleuteld netwerkverkeer is steeds gebruikelijker geworden als een middel om online privacy en beveiliging te verbeteren. Google en andere organisaties hebben sterk gepleit voor het gebruik van versleutelde netwerkprotocollen, wat heeft geleid tot meer dan 95% van het netwerkverkeer dat vandaag de dag versleuteld is, volgens Google’s Transparantierapport. Hoewel dit positief is voor netwerkprivacy, beperkt het de beveiligingszichtbaarheid voor deze netwerkstromen, waardoor organisaties mogelijk kwetsbaar zijn voor malware en andere bedreigingen.

AI-modellen kunnen metadata, gedrag en stroompatronen van versleuteld verkeer onderzoeken om het waarschijnlijke risico dat aan deze stromen is verbonden te analyseren. Als onderdeel van een geïntegreerde SSE of SASE architectuur kan AI-gebaseerde versleutelde verkeersanalyse de netwerkprestaties en -beveiliging verbeteren door de noodzaak te verminderen om middelen-intensieve decryptie van netwerkverkeer uit te voeren.

Waarom versleuteld verkeer blinde vlekken voor beveiliging creëert

Transport Layer Security (TLS) is een netwerkprotocol dat onveilige protocollen in een versleutelde wrapper wikkelt voor vertrouwelijkheid en authenticatie. Het gebruik van TLS voor webverkeer is gebruikelijk geworden en verbetert de online privacy. Echter, deze groeiende adoptie van verkeersversleuteling komt ook ten goede aan aanvallers die proberen kwaadaardige inhoud binnen versleutelde verkeersstromen te verbergen. Netwerkverkeer dat malware, command-and-control-verkeer en gegevensexfiltratie bevat, kan ondoorzichtig zijn voor beveiligingstools en zich verbergen tussen legitiem verkeer.

Veel beveiligingstools zijn afhankelijk van de mogelijkheid om de payload van netwerkverkeer te analyseren, die door TLS wordt versleuteld. Als gevolg hiervan creëert het toenemende gebruik van verkeersversleuteling aanzienlijke beveiligingsblinde vlekken.

Hoe werken traditionele decryptie-gecentreerde benaderingen?

Traditioneel gaan ondernemingen de uitdaging aan die door netwerkverkeersversleuteling wordt geïntroduceerd door decryptie en inspectie van het verkeer uit te voeren. Dit kan op verschillende manieren worden bereikt, zoals het gebruik van netwerkproxies, on-premise apparaten of cloudgateways. Deze benadering van het beheren van versleuteld netwerkverkeer biedt diepgaande zichtbaarheid in het netwerkverkeer. Door de volledige payload te decrypten, kan een beveiligingsapparaat deze in zijn geheel scannen op potentiële kwaadaardige inhoud.

Echter, volledige verkeersdecryptie heeft ook zijn nadelen. Volledige verkeersdecryptie is computationeel duur en kan extra latentie in de verbinding introduceren. Bovendien vereist het dat de organisatie het traditionele TLS-paradigma doorbreekt met behulp van enterprise SSL-certificaten, wat beveiligingsrisico’s en zorgen over de privacy van gebruikers met zich meebrengt.

Wat is AI-gebaseerde versleutelde verkeersanalyse?

AI-gebaseerde geanalyse van versleuteld verkeer pakt de uitdagingen aan die gepaard gaan met versleuteld netwerkverkeer door zich te concentreren op de niet-versleutelde aspecten van het verkeer. Pakketmetadata, zoals IP-adressen en pakketgroottes, en kenmerken van verkeersstromen kunnen aanwijzingen geven die helpen bij het onderscheiden van legitiem en kwaadaardig netwerkverkeer. Hoe meer hoogwaardige telemetrie door deze systemen wordt verzameld en geanalyseerd, hoe nauwkeuriger hun conclusies.

AI-gebaseerde systemen voor de analyse van versleuteld verkeer kunnen verschillende modellen gebruiken om potentiële kwaadaardige verkeersstromen te detecteren. Begeleide machine learning (ML) kan worden gebruikt om bekende kwaadaardige verkeerspatronen te detecteren, terwijl ongecontroleerde ML en anomaliedetectie helpen om nieuwe gedragingen te identificeren.

Aangezien de analyse van versleuteld verkeer geen payloads ontsleutelt, beschermt het de privacy van de gebruiker terwijl het toch waarschijnlijk risicovolle en verdachte verbindingen identificeert. Dit stelt beveiligingsapparaten in staat om selectief TLS-sessies te ontsleutelen en te inspecteren die als het meest risicovol worden geïdentificeerd.

Hoe geanalyse van versleuteld verkeer de privacy beschermt

Geanalyse van versleuteld verkeer richt zich op het analyseren van metadata, waaronder stroomduur, pakketgroottes, timing, TLS-handshakekenmerken, SNI en certificaatattributen. Deze informatie is niet versleuteld in TLS-sessies omdat het minder gevoelig is dan de pakketpayloads. Door de decryptie van pakketpayloads, waar gebruikerssessiegegevens zich bevinden, te vermijden, beschermen deze tools de privacy van de gebruiker.

Hoe detecteert AI bedreigingen in versleuteld verkeer zonder decryptie?

AI kan verkeersmetadata analyseren om veelvoorkomende vormen van kwaadaardig netwerkverkeer te detecteren, zoals command-and-controlverkeer, gegevensexfiltratie en laterale beweging. Enkele belangrijke patronen die AI kan herkennen in versleuteld verkeer zijn:

• Beaconing
• Gebruik van ongebruikelijke TLS-cijfers
• Ongebruikelijke verkeersbestemmingen
• Niet-overeenkomende SNI en certificaten

Deze indicatoren kunnen worden gebruikt om waarschijnlijk kwaadaardig verkeer binnen een bedrijfsomgeving te identificeren. Deze netwerkstromen kunnen worden gemarkeerd voor decryptie door inbraakpreventiesystemen (IPS) en anti-malware-engines, waarbij beveiliging, privacy en prestaties in balans worden gehouden.

Voorbeelden van AI-functies en modellen in gebruik

AI-gebaseerde oplossingen voor verkeersanalyse van versleuteling kunnen verschillende functies gebruiken om kwaadaardig verkeer te identificeren. Deze omvatten:

• TLS-handshakevingers
• Stroomstatistieken
• Serverreputatiescores
• Protocolanomalieën
• Gedragsbaselines

AI-gebaseerde tools kunnen gebruikmaken van gesuperviseerd of ongesuperviseerd leren om bedreigingen te identificeren. Gesuperviseerde modellen worden getraind op gelabeld kwaadaardig/goedaardig verkeer om bekende bedreigingen te identificeren, en ongesuperviseerde modellen spotten afwijkingen van “normaal” gedrag voor de detectie van nieuwe bedreigingen. Bovendien integreren sommige platforms dreigingsinformatiefeeds en op regels gebaseerde logica naast AI.

Welke TLS-handshake- en stroomattributen zijn het belangrijkst?

De TLS-handshake wordt gebruikt om een TLS-sessie te onderhandelen en bevat een schat aan nuttige informatie die kan worden gebruikt om legitiem en kwaadaardig verkeer te onderscheiden. Enkele belangrijke velden die AI-gebaseerde oplossingen voor verkeersanalyse van versleuteling onderzoeken, zijn onder andere:

• Ciphers
• Versies
• Certificaatvelden
• SNI
• Sessieresumptiegedrag
• JA3-stijl vingerafdrukken

Legitiem verkeer van gebruikerssessies in webbrowsers zal bepaalde waarden voor deze attributen hebben. Daarom kunnen afwijkingen of anomalieën wijzen op vervalste diensten, malware-frameworks of verborgen kanalen. Door te zoeken naar deze waarschuwingssignalen, kunnen op AI gebaseerde tools voor versleutelde verkeersanalyse mogelijk C2-verkeer en andere kwaadaardige datastromen onderscheiden.

Hoe TLS-inspectie past bij op AI gebaseerde versleutelde verkeersanalyse

TLS-inspectie en op AI gebaseerde versleutelde verkeersinspectie zijn complementaire oplossingen. AI kan efficiënt niet-versleutelde metadata analyseren om de netwerkstromen te identificeren die decryptie en diepgaandere analyse vereisen.

Om prestatie- en beveiligingsoverwegingen in balans te brengen, moet een TLS-inspectiemethodologie beste praktijken volgen en beleid definiëren om te bepalen wanneer decryptie moet worden uitgevoerd en wanneer deze kan worden overgeslagen. Bijvoorbeeld, een systeem kan vereisen dat een netwerkstroom met een door AI gegenereerde risicoscore boven een bepaalde drempel decryptie vereist. Bovendien kunnen beleidsregels vereisen of verbieden dat decryptie plaatsvindt voor bepaalde soorten verkeer, zoals verbindingen met bank- en gezondheidszorgsites.

Voordelen en Limieten van op AI gebaseerde versleutelde verkeersanalyse

Het toevoegen van op AI gebaseerde versleutelde verkeersanalyse naast selectieve, veilige TLS-inspectie biedt verschillende voordelen voor de organisatie en haar gebruikers, waaronder:

• Verbeterde Prestatie: AI-analyse van niet-versleutelde metadata kan de noodzaak voor computationeel intensieve decryptie elimineren, waardoor de netwerkprestaties verbeteren.
• Verbeterde Privacy: Selectieve decryptie elimineert de noodzaak om laag-risico netwerkstromen te decrypten en te analyseren.
• Verminderde Overhead: Selectieve decryptie vereist minder rekenkracht dan volledige decryptie, waardoor kosten en hulpbronnen worden verminderd.

Echter, hoewel op AI gebaseerde decryptie een nuttig hulpmiddel is, heeft het zijn beperkingen. Zonder goede gegevens en modellen kunnen AI-systemen kritieke fouten maken. Bovendien kunnen systemen valse positieven of valse negatieven hebben, wat leidt tot onnodige decryptie of gemiste bedreigingen.

Hoe moeten beveiligingsteams deze mogelijkheden operationaliseren?

AI-gebaseerde analyse van versleuteld verkeer moet zorgvuldig worden uitgerold om de potentiële impact op de beveiliging en de gebruikerservaring te minimaliseren. Best practices zijn:

• Het inschakelen van beschikbare functies voor de analyse van versleuteld verkeer op bestaande platforms en het zorgvuldig afstemmen van beleid.
• Het opstellen van playbooks om meldingen van hoog-risico versleuteld verkeer te triageren en deze te correleren met endpoint-, identiteit- en applicatielogs.
• Voortdurend modelafstemming uitvoeren, waarbij bevestigde incidenten en onschuldige gevallen terug in het systeem worden gevoed om modellen te verbeteren.
• Duidelijk eigenaarschap definiëren tussen netwerk-, beveiligings- en compliance-teams wanneer versleuteld verkeer en privacy betrokken zijn.

Veelgestelde vragen over AI-gebaseerde analyse van versleuteld verkeer

Hoe verschilt AI-gebaseerde analyse van versleuteld verkeer van SSL-decryptie?

AI-gebaseerde analyse van versleuteld verkeer probeert kwaadaardig verkeer te identificeren zonder decryptie door te kijken naar sessiemetagegevens en andere niet-versleutelde informatie in een versleutelde sessie. Dit kan minder rekenintensief en invasief zijn dan volledige SSL-decryptie, waardoor het een goede optie is om die sessies te identificeren die een diepere analyse van gedecrypt verkeer verdienen.

Vervangt analyse van versleuteld verkeer TLS-inspectie?

Nee, analyse van versleuteld verkeer en TLS-inspectie zijn complementaire oplossingen. Door waarschijnlijk kwaadaardige sessies te identificeren, stelt analyse van versleuteld verkeer organisaties in staat om de noodzaak te vermijden om al het verkeer te decrypten, en zich in plaats daarvan te concentreren op risicovolle sessies. Dit kan de prestaties verbeteren door het gebruik van resource-intensieve decryptie te verminderen en de privacy van de gebruiker te verbeteren zonder de beveiliging in gevaar te brengen.

Welke soorten bedreigingen worden het beste gedetecteerd met analyse van versleuteld verkeer?

Analyse van versleuteld verkeer is het beste geschikt voor het identificeren van kwaadaardig netwerkverkeer met veelvoorkomende structurele patronen. Veelvoorkomende gebruiksscenario’s zijn het identificeren van command and control (C2) verkeer, gegevensexfiltratie, botnetcommunicatie en malware.

Hoe beïnvloedt AI-gebaseerde versleutelde verkeersanalyse de privacy van gebruikers?

AI-gebaseerde versleutelde verkeersanalyse elimineert de noodzaak om elke netwerk sessie te ontsleutelen en te inspecteren. Dit verbetert de privacy, aangezien de gegevens in netwerkpakketten die niet zijn gemarkeerd voor verdere beoordeling, nooit door het beveiligingsapparaat worden geïnspecteerd.

Waar moeten organisaties op letten bij het evalueren van oplossingen?

Oplossingen voor versleutelde verkeersanalyse zijn slechts zo goed als de telemetrie die ze verzamelen en analyseren, en de modellen die ze gebruiken om deze te beoordelen. Andere kritieke functies omvatten dekking van de gehele IT-omgeving van een organisatie en integratie met andere beveiligingstools, bij voorkeur als onderdeel van een geconvergeerde SSE/SASE-implementatie.

Hoe beïnvloeden AI-beveiligingskwetsbaarheden de versleutelde verkeersanalyse?

AI-gebaseerde versleutelde verkeersanalyse kan een krachtig hulpmiddel zijn, maar het is ook potentieel kwetsbaar voor dezelfde bedreigingen als andere AI-systemen. Aanvallers kunnen trainingsgegevens vergiftigen of manieren identificeren om detectie door een AI-model te omzeilen. Bovendien kunnen blinde vlekken in de telemetrie die aan het systeem worden gevoed en overmatige afhankelijkheid van AI-signalen voor de detectie van kwaadaardig verkeer aanvallen mogelijk maken om door de mazen van het net te glippen.

Om deze bedreigingen te beheersen, moeten organisaties sterke governance-modellen voor versleutelde verkeersanalyse implementeren. Voortdurende monitoring, feedbackloops en duidelijke beleidsgrenzen zijn essentieel om potentiële risico’s voor het systeem en de dreiging van gemiste detecties te beheersen.

Uiteindelijk is AI-gebaseerde versleutelde verkeersanalyse een aanvullend hulpmiddel voor TLS-inspectie, dat onderbouwde richtlijnen biedt met betrekking tot de netwerkstromen die ontsleuteling vereisen. Een goed ontworpen netwerkbeveiligingsprogramma combineert TLS-inspectie, versleutelde verkeersanalyse en sterke governance.