NDR คืออะไร: ตรวจจับภัยจากทราฟฟิกเครือข่าย

NDR (Network Detection and Response) คือเครื่องมือที่ดูข้อมูลการสื่อสารในเครือข่ายเพื่อหาพฤติกรรมของผู้โจมตี เช่น การสแกนหาเครื่องเป้าหมาย การเคลื่อนที่ต่อภายในเครือข่าย (lateral movement) และการติดต่อกับเซิร์ฟเวอร์ที่ผู้โจมตีใช้สั่งการ (command-and-control) เครื่องมือนี้วิเคราะห์จากสำเนาของทราฟฟิก (ข้อมูลที่วิ่งไปมาในเครือข่าย) แล้วให้หลักฐานแก่นักวิเคราะห์ใช้สืบสวนต่อ NDR ดูว่าอุปกรณ์คุยอะไรกัน โดยไม่ต้องติดตั้งโปรแกรมบนแต่ละเครื่อง จึงครอบคลุมเซิร์ฟเวอร์ อุปกรณ์ IoT และอุปกรณ์ที่ IT ไม่ได้บริหารจัดการ ซึ่งลง agent (โปรแกรมเล็ก ๆ ที่ติดตั้งบนเครื่อง) ไม่ได้ บทความนี้อธิบายว่า NDR ทำงานอย่างไร มีข้อจำกัดตรงไหน และใช้ร่วมกับ EDR (เครื่องมือตรวจจับและตอบสนองบนเครื่องปลายทาง), XDR (แพลตฟอร์มที่รวมสัญญาณจากหลายแหล่งมาวิเคราะห์ร่วมกัน) และ SIEM (ระบบรวบรวมและวิเคราะห์ log จากหลายแหล่ง) ได้อย่างไร

NDR คืออะไร

NDR ประกอบด้วยองค์ประกอบสี่ส่วน คำว่า NDR มาจากวงการผู้ผลิตเอง ไม่ได้มาจากหน่วยงานมาตรฐาน ผู้ผลิตแต่ละรายจึงนิยามไม่เหมือนกันเล็กน้อย ควรตรวจว่าผลิตภัณฑ์แต่ละตัวมีอะไรรวมอยู่จริง

• Sensor: ตัวเก็บข้อมูลแบบ passive (รับอย่างเดียว ไม่แทรกในเส้นทางทราฟฟิก) ที่รับสำเนาทราฟฟิกจาก network tap (อุปกรณ์คัดลอกสัญญาณจากสายเครือข่าย) จากพอร์ต mirror ของสวิตช์ (เรียกว่า SPAN) หรือจากฟีเจอร์ mirror บนคลาวด์
• หลักฐานจากเครือข่าย: ได้แก่ข้อมูล flow (บันทึกสรุปว่าใครคุยกับใคร) หรือ metadata ของโปรโตคอลที่ละเอียดกว่า (ข้อมูลที่อธิบายการสื่อสาร แต่ไม่ใช่เนื้อหา เช่น DNS, TLS, SMB) บางผลิตภัณฑ์เก็บ packet ดิบด้วย
• การวิเคราะห์: ใช้ signature (รูปแบบที่รู้จักของภัยที่เคยพบ) ตรวจภัยที่รู้จัก และใช้การตรวจจับเชิงสถิติและเชิงพฤติกรรมกับกิจกรรมที่ไม่มี signature อธิบายไว้
• การสืบสวนและการตอบสนอง: แสดงไทม์ไลน์ว่าเครื่องหนึ่งคุยกับใครบ้าง และส่งต่อให้เครื่องมืออื่นที่ลงมือจัดการได้

ทราฟฟิกบอกอะไรได้บ้าง

MITRE ATT&CK (ฐานความรู้เรื่องวิธีการของผู้โจมตีที่ใช้กันทั่วโลก) นิยามทราฟฟิกเครือข่ายว่าเป็นข้อมูลที่ส่งผ่านเครือข่าย ซึ่งเก็บได้สองแบบ คือแบบสรุป เช่น NetFlow (ข้อมูลสรุปการเชื่อมต่อ) หรือแบบดิบ เช่น PCAP (ไฟล์ packet ที่จับมาครบทั้งชุด) ATT&CK มีกลยุทธ์ (tactic) สองข้อที่ทำให้เห็นว่าข้อมูลนี้สำคัญ ข้อแรกคือ Lateral Movement ซึ่งรวมเทคนิคที่ผู้โจมตีใช้เข้าไปควบคุมระบบอื่นในเครือข่ายจากระยะไกล ข้อที่สองคือ Command and Control ซึ่งรวมวิธีที่ผู้โจมตีใช้สื่อสารกับระบบที่ยึดได้แล้ว เทคนิคในกลุ่มหลังมี Encrypted Channel (ช่องทางที่เข้ารหัส), Protocol Tunneling (ซ่อนการสื่อสารไว้ในโปรโตคอลอื่น) และ Non-Standard Port (ใช้พอร์ตที่ไม่ใช่พอร์ตมาตรฐาน)

MITRE D3FEND คือคู่ฝั่งป้องกันของ ATT&CK โดยนิยาม Network Traffic Analysis ว่าคือการวิเคราะห์ทราฟฟิกที่ดักมาหรือสรุปไว้ เพื่อตรวจหากิจกรรมที่ไม่ได้รับอนุญาต ตัวอย่างเทคนิคของ D3FEND ที่ตรงกับหน้าที่ของ NDR มีดังนี้

• การสแกนและสำรวจเครือข่าย: connection attempt analysis (วิเคราะห์ความพยายามเชื่อมต่อ) ดูการเชื่อมต่อที่ล้มเหลวเพื่อหาการสแกนเครือข่าย
• การเคลื่อนที่ต่อภายในเครือข่าย: remote terminal session detection (ตรวจจับการเปิด session ควบคุมเครื่องระยะไกล) และ administrative network activity analysis (วิเคราะห์ทราฟฟิกของผู้ดูแลระบบ) จะเทียบทราฟฟิกของผู้ดูแลระบบภายในกับ baseline (พฤติกรรมปกติที่เคยวัดไว้)
• การควบคุมจากภายนอก: relay pattern analysis (วิเคราะห์รูปแบบการส่งต่อ), DNS traffic analysis และ certificate analysis ใช้มองหาเครื่องภายในที่ทำตัวเป็นตัวส่งต่อทราฟฟิก หรือที่คุยกับโดเมนที่น่าสงสัย
• การขโมยข้อมูล: per-host download-upload ratio analysis (วิเคราะห์สัดส่วนข้อมูลที่รับกับส่งของแต่ละเครื่อง) ชี้เครื่องที่ส่งข้อมูลออกมากผิดปกติ

NDR ทำงานอย่างไร

Sensor วางอยู่นอกเส้นทางทราฟฟิก (out of band) จึงไม่ทำให้เครือข่ายช้าลงและไม่ทำให้เครือข่ายล่ม บนคลาวด์มีฟีเจอร์ mirror ที่ทำหน้าที่เดียวกัน เช่น AWS ระบุในเอกสารว่า VPC Traffic Mirroring ใช้คัดลอกทราฟฟิกจาก network interface ไปยังอุปกรณ์ที่อยู่นอกเส้นทาง เพื่อตรวจสอบเนื้อหาและเฝ้าระวังภัยคุกคาม จากนั้น sensor จะแปลง packet เป็นข้อมูลที่มีโครงสร้าง เพื่อส่งให้ระบบวิเคราะห์

ผลิตภัณฑ์แต่ละตัวมีรายละเอียดต่างกัน จึงควรเปรียบเทียบจากเอกสารของผู้ผลิตเอง ExtraHop อธิบายว่าใช้ sensor แบบ passive อ่านและแยกโปรโตคอลออกมาเป็นข้อมูลที่มีโครงสร้าง และถือการตรวจจับความผิดปกติด้วย ML (machine learning คือการให้ระบบเรียนรู้รูปแบบจากข้อมูล) เป็นฟีเจอร์หลัก ส่วนเอกสารของ Vectra อธิบายว่า sensor ส่ง metadata ไปยังส่วนประกอบชื่อ Brain ซึ่งรันการตรวจจับในพื้นที่ และมี buffer เก็บ packet ล่าสุดแบบหมุนเวียน ดึง packet จากตรงนั้นมาดูได้เมื่อร้องขอ ซอฟต์แวร์โอเพนซอร์สก็แสดงแนวคิดเดียวกันอย่างเปิดเผย Zeek อธิบายตัวเองว่าเป็นตัวเฝ้าดูเครือข่ายแบบ passive ที่เขียน log แบบมีโครงสร้างอย่างละเอียด ส่วน Suricata เป็นเอนจินสำหรับ IDS (ระบบตรวจจับการบุกรุก), IPS (ระบบป้องกันการบุกรุก) และ network security monitoring (การเฝ้าระวังความปลอดภัยของเครือข่าย)

การตรวจจับมักใช้สามวิธีต่อไปนี้ร่วมกัน

• Signature: เร็วและแม่นกับภัยที่รู้จักแล้ว แต่มองไม่เห็นภัยใหม่
• ความผิดปกติของโปรโตคอลและ metadata: ดูค่าที่เบี่ยงเบนทางสถิติจากการใช้โปรโตคอลตามปกติ เช่น รูปแบบ DNS ที่ไม่มีเครื่องอื่นสร้าง
• Baseline เชิงพฤติกรรม: เรียนรู้ว่าเครื่องใดปกติคุยกับเครื่องใด แล้วแจ้งเตือนเมื่อพฤติกรรมเปลี่ยนไปจากเดิม ผู้ผลิตจำนวนมากใช้ machine learning ในขั้นนี้ จึงควรถามว่าผลิตภัณฑ์อธิบายเหตุผลของการแจ้งเตือนให้นักวิเคราะห์ฟังได้อย่างไร

Sensor แบบ passive ไม่ได้อยู่ในเส้นทางทราฟฟิก จึงไม่บล็อกทราฟฟิกเอง การตอบสนองจึงมักหมายถึงการส่งบริบท (ข้อมูลประกอบเหตุการณ์) ไปให้ EDR ไฟร์วอลล์ SIEM หรือ SOAR (ระบบสั่งงานอัตโนมัติเพื่อตอบสนองเหตุการณ์) ควรถามผู้ผลิตว่าการตอบสนองแบบใดทำได้ในตัวผลิตภัณฑ์ และแบบใดต้องสร้างการเชื่อมต่อเอง

ข้อดีและข้อจำกัด

ข้อดี

• ครอบคลุมโดยไม่ต้องใช้ agent: เห็นเซิร์ฟเวอร์ อุปกรณ์ IoT และอุปกรณ์ที่ IT ไม่ได้บริหารจัดการ ซึ่งติดตั้งซอฟต์แวร์ไม่ได้
• ผู้โจมตีปิดได้ยาก: ต่อให้ผู้โจมตีควบคุมเครื่องหนึ่งได้ ก็หยุด sensor บนเครือข่ายไม่ให้เห็นทราฟฟิกของเครื่องนั้นได้ยาก
• เห็นทราฟฟิก east-west: east-west คือทราฟฟิกที่วิ่งระหว่างระบบภายในกันเอง ไฟร์วอลล์ที่ขอบเครือข่ายไม่เห็นส่วนนี้ แต่ NDR เห็น
• หลักฐานที่ใช้ได้จริง: บันทึกว่าใครคุยกับใคร เมื่อไร และมากแค่ไหน ช่วยสนับสนุนการสืบสวน

ข้อจำกัด

• การเข้ารหัส: เนื้อหาใน session ที่เข้ารหัสอ่านไม่ได้ถ้าไม่ถอดรหัสก่อน แต่ยังเหลือ metadata ใบรับรอง จังหวะเวลา และปริมาณข้อมูลให้วิเคราะห์ ผู้ผลิตบางรายมีฟีเจอร์ถอดรหัส แต่ต้องเข้าถึงกุญแจ มีประเด็นเรื่องความเป็นส่วนตัวและกฎหมายตามมา และความสามารถต่างกันไปตามผลิตภัณฑ์
• ตำแหน่งการวาง: เห็นเฉพาะทราฟฟิกที่ส่งให้ sensor เท่านั้น การ mirror บนคลาวด์ของ AWS คิดค่าบริการตามจำนวน session ที่เปิดอยู่ มีค่าโอนข้อมูลเพิ่ม และรองรับเฉพาะ instance type (ประเภทเครื่องเสมือน) ที่อยู่ในรายการ
• ไม่เห็นรายละเอียดบนเครื่อง: ไม่บอกว่า process หรือไฟล์ใดเป็นต้นเหตุของทราฟฟิก จึงควรใช้คู่กับ EDR
• การปรับแต่งและพื้นที่จัดเก็บ: baseline ต้องใช้เวลาเรียนรู้ และการเก็บ metadata หรือ packet ก็มีต้นทุนด้านพื้นที่จัดเก็บ

NDR เทียบกับ IDS, EDR, XDR และ SIEM

NIST SP 800-94 เผยแพร่ในปี 2007 และอธิบายระบบตรวจจับและป้องกันการบุกรุกไว้สี่ประเภทแล้ว รวมถึงแบบเฝ้าที่เครือข่าย (network-based) และแบบวิเคราะห์พฤติกรรมเครือข่าย (network behavior analysis) NDR ในปัจจุบันมีส่วนที่ซ้อนกับแนวคิดเหล่านี้ และเพิ่ม metadata ที่ละเอียดขึ้นกับการวิเคราะห์

• IDS และ IPS: ส่วนใหญ่แจ้งเตือนจาก signature และ IPS ยังบล็อกทราฟฟิกแบบ inline (วางอยู่ในเส้นทางทราฟฟิกโดยตรง) ได้ด้วย ส่วน NDR เน้นพฤติกรรม บริบท และการสืบสวน
• EDR: ให้รายละเอียดลึกบนเครื่องเดียว แต่ได้เฉพาะเครื่องที่ลง agent ส่วน NDR ครอบคลุมทุกอย่างที่วิ่งบนสายเครือข่าย แต่ละเอียดต่อเครื่องน้อยกว่า
• XDR: เชื่อมโยงสัญญาณจากหลายด้านเข้าด้วยกัน XDR หลายตัวใช้ข้อมูลเครือข่ายเป็นแหล่งข้อมูลหนึ่ง ดู เปรียบเทียบ SIEM, SOAR และ XDR
• SIEM: รวบรวม log จากทุกที่และเก็บบันทึกระยะยาว NDR เป็นแหล่งข้อมูลคุณค่าสูงให้ SIEM แต่ไม่ได้มาแทนที่ SIEM

วิธีนำ NDR ไปใช้

NDR เหมาะกับองค์กรที่มีอุปกรณ์ซึ่ง IT ไม่ได้บริหารจัดการอยู่จำนวนมาก เครือข่ายแบบแบน (flat network คือเครือข่ายที่ไม่ได้แบ่งส่วน เครื่องส่วนใหญ่คุยถึงกันได้หมด) ศูนย์ข้อมูลที่อยู่ภายใต้กฎระเบียบ หรือส่วน OT (ระบบควบคุมเครื่องจักรและกระบวนการผลิต) ที่ไม่เหมาะกับการลง agent สำหรับ OT ดู Zero Trust กับระบบ OT การทดลองใช้ (pilot) มักได้ผลดีที่สุดเมื่อทำตามลำดับนี้

• กำหนดเป้าหมาย: ตัดสินว่าการโจมตีแบบใดและเครือข่ายส่วนใดสำคัญที่สุด
• จับคู่ความครอบคลุมกับ ATT&CK: ทำรายการเทคนิคที่ต้องมองเห็นให้ได้มากที่สุด แล้วเทียบผู้ผลิตแต่ละรายกับรายการนั้น
• วาง sensor: วางที่ขอบอินเทอร์เน็ต ลิงก์ east-west ของศูนย์ข้อมูล เครือข่ายคลาวด์สำคัญ และส่วนที่มีข้อมูลละเอียดอ่อน
• ทดสอบด้วยทราฟฟิกที่สมจริง: เล่นซ้ำรูปแบบการโจมตีที่รู้จัก หรือซ้อมเหตุการณ์ ตามที่อธิบายไว้ใน Network & Cyber Security Simulator
• เชื่อมต่อและจูน: ส่งการแจ้งเตือนเข้า SIEM หรือ SOAR กำหนดว่าใครเป็นผู้คัดกรอง และปรับแต่งให้เหมาะก่อนขยายขอบเขต

การแบ่งส่วนเครือข่ายช่วยให้ NDR ทำงานได้ดีขึ้น เพราะเมื่อเส้นทางที่อนุญาตมีน้อยลง ความผิดปกติก็เห็นชัดขึ้น ดู การแบ่งส่วนเครือข่าย (Network Segmentation) ทำอย่างไร

ข้อควรระวัง

• คาดหวังว่าจะเห็นทุก session ที่เข้ารหัส: ควรวางแผนโดยอาศัย metadata เป็นหลัก และตัดสินใจอย่างรอบคอบว่าจะยอมรับการถอดรหัสหรือไม่
• วาง sensor เฉพาะที่ขอบเครือข่าย: การเคลื่อนที่ต่อภายในส่วนใหญ่ไม่ผ่านจุดนั้น
• ซื้อจากการสาธิต: ควรขอให้ผู้ผลิตพิสูจน์คุณค่า (proof of value) ด้วยเครือข่ายและทราฟฟิกขององค์กรเอง
• มองว่า machine learning รับประกันผลได้: ควรขอคำอธิบายจากผู้ผลิต และวัดอัตราการแจ้งเตือนผิดพลาด (false positive)
• ไม่มีเจ้าของการแจ้งเตือน: แหล่งแจ้งเตือนใหม่ที่ไม่มีผู้รับผิดชอบคัดกรอง จะเพิ่มแต่สัญญาณรบกวน
• มองข้ามการคุ้มครองข้อมูล: ควรกำหนดว่าใครดูทราฟฟิกที่จับไว้ได้ และเก็บไว้นานเท่าไร

ขั้นแรกที่ทำได้ทันที

• ทำรายการอุปกรณ์ที่ไม่มี agent และส่วนของเครือข่ายที่ยังไม่มีการเฝ้าระวัง
• ตรวจสิ่งที่มีอยู่แล้ว: ไฟร์วอลล์ สวิตช์ หรือคลาวด์ที่องค์กรใช้อยู่ อาจส่งออกข้อมูล flow หรือ mirror ทราฟฟิกได้อยู่แล้ว
• เลือกสามเทคนิคของ ATT&CK (เช่น Remote Services, Encrypted Channel และ Protocol Tunneling) แล้วถามว่าวันนี้มีอะไรที่จะทำให้เห็นเทคนิคเหล่านี้บนเครือข่ายขององค์กร
• ทดลอง sensor โอเพนซอร์ส ในเครือข่ายทดสอบ เพื่อดูว่า Zeek หรือ Suricata บันทึกอะไรบ้าง

หากต้องการดูว่าจุดบอดด้านการมองเห็นจุดใดสำคัญที่สุดต่อองค์กร ลองใช้ แบบประเมินตนเอง

แหล่งอ้างอิงและข้อมูลเพิ่มเติม

• MITRE ATT&CK: Network Traffic data source: นิยามทราฟฟิกเครือข่ายแบบสรุปและแบบดิบของ ATT&CK
• MITRE D3FEND: Network Traffic Analysis: เทคนิคฝั่งป้องกันที่ตรงกับหน้าที่ของ NDR
• MITRE ATT&CK: Lateral Movement: เทคนิคที่ผู้โจมตีใช้เคลื่อนที่ระหว่างระบบ
• NIST SP 800-94: Guide to Intrusion Detection and Prevention Systems: คู่มือพื้นฐานปี 2007 ครอบคลุมการวิเคราะห์พฤติกรรมเครือข่าย
• Zeek: ตัวเฝ้าดูเครือข่ายแบบ passive และตัวสร้าง log โอเพนซอร์ส
• เอกสาร Suricata: เอนจิน IDS, IPS และ network security monitoring โอเพนซอร์ส
• AWS: Traffic Mirroring: ตัวอย่างการ mirror ทราฟฟิกบนคลาวด์เพื่อตรวจสอบนอกเส้นทาง
• ExtraHop RevealX: how it works: คำอธิบาย sensor แบบ passive และการวิเคราะห์จากผู้ผลิตรายหนึ่ง (หน้าการตลาด ให้ถือเป็นคำกล่าวอ้างของผู้ผลิต)
• เอกสาร Vectra: ภาพรวมสถาปัตยกรรม: การออกแบบ sensor และ Brain ของผู้ผลิตอีกราย