Análise de Tráfego de Rede para Incidentes

Quando Usar

• Alertas de SIEM sobre padrões anômalos de tráfego de rede que exigem investigação mais profunda
• Suspeita de comunicação C2 (Comando e Controle) que precisa ser confirmada por meio de análise em nível de pacote
• Necessidade de quantificar o volume ou o destino da exfiltração de dados a partir de evidências de rede
• Movimentação lateral entre sistemas que precisa ser rastreada por meio de conexões de rede
• Alerta de IDS/IPS que requer validação em nível de pacote para confirmar ou descartar

Não use para análise forense baseada em host (execução de processos, artefatos do sistema de arquivos); use ferramentas forenses de endpoint em vez disso.

Pré-requisitos

• Infraestrutura de captura de pacotes completa (PCAP) ou capacidade de captura sob demanda (network tap, porta SPAN)
• Wireshark instalado na estação de trabalho de análise com conhecimento apropriado de filtros de exibição
• Zeek (anteriormente Bro) implantado para geração de metadados de rede (conn.log, dns.log, http.log, ssl.log)
• Coleta de NetFlow/IPFIX de dispositivos de rede para análise de fluxo de tráfego
• Diagrama de arquitetura de rede mostrando layout de VLAN, posicionamento de firewall e pontos de monitoramento
• Feeds de inteligência de ameaças para correlacionar indicadores de rede observados

Fluxo de Trabalho

Etapa 1: Capturar ou Adquirir Tráfego de Rede

Obtenha os dados de tráfego relevantes para a investigação:

Captura ao Vivo (se o incidente estiver ativo):

# Capture on specific interface filtering by host
tcpdump -i eth0 -w capture.pcap host 10.1.5.42

# Capture C2 traffic to specific external IP
tcpdump -i eth0 -w c2_traffic.pcap host 185.220.101.42

# Capture with rotation (1GB files, keep 10)
tcpdump -i eth0 -w capture_%Y%m%d%H%M.pcap -C 1000 -W 10

Da Infraestrutura Existente:

• Exportar PCAP do appliance de captura completa de pacotes (Arkime/Moloch, ExtraHop, Corelight)
• Obter logs do Zeek do cluster Zeek para o período de tempo da investigação
• Exportar dados NetFlow de dispositivos de rede para análise de tráfego de alto nível

Etapa 2: Identificar Comunicações C2

Detectar padrões de tráfego de Comando e Controle:

Detecção de Beaconing (Zeek conn.log):

# Extract connections to external IPs with regular intervals
cat conn.log | zeek-cut ts id.orig_h id.resp_h id.resp_p duration orig_bytes resp_bytes \
  | awk '$4 ~ /^185\.220/' | sort -t. -k1,1n -k2,2n

Análise de Beaconing no Wireshark:

# Filter for traffic to suspected C2 IP
ip.addr == 185.220.101.42

# Filter HTTPS traffic to non-standard ports
tcp.port != 443 && ssl

# Filter DNS queries for suspicious domains
dns.qry.name contains "evil" or dns.qry.name matches "^[a-z0-9]{32}\."

# Filter HTTP POST (common C2 check-in method)
http.request.method == "POST" && ip.dst == 185.220.101.42

Características de beaconing a serem identificadas:

• Intervalos de tempo regulares entre conexões (por exemplo, a cada 60 segundos com 10-15% de jitter)
• Tamanhos de pacote consistentes em requisições e respostas
• HTTPS para IPs externos não associados a CDNs ou serviços legítimos
• Consultas DNS com subdomínios de alta entropia (indicador de tunneling DNS)

Etapa 3: Analisar Tráfego de Movimentação Lateral

Rastrear a movimentação do adversário entre sistemas internos:

Key protocols for lateral movement detection:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
SMB (TCP 445):     PsExec, file share access, ransomware propagation
RDP (TCP 3389):    Remote desktop sessions
WinRM (TCP 5985):  PowerShell remoting
WMI (TCP 135):     Remote command execution
SSH (TCP 22):      Linux lateral movement
DCE/RPC (TCP 135): DCOM-based lateral movement

Filtros do Wireshark para Movimentação Lateral:

# SMB lateral movement
smb2 && ip.src == 10.1.5.42 && ip.dst != 10.1.5.42

# RDP connections from compromised host
tcp.dstport == 3389 && ip.src == 10.1.5.42

# Kerberos ticket requests (potential pass-the-ticket)
kerberos.msg_type == 12 && ip.src == 10.1.5.42

# NTLM authentication (potential pass-the-hash)
ntlmssp.auth.username && ip.src == 10.1.5.42

Etapa 4: Detectar Exfiltração de Dados

Identificar transferências não autorizadas de dados saindo da rede:

# Identify large outbound transfers in Zeek conn.log
cat conn.log | zeek-cut ts id.orig_h id.resp_h id.resp_p orig_bytes \
  | awk '$5 > 100000000' | sort -t$'\t' -k5 -rn

# DNS tunneling detection (high volume of TXT queries)
cat dns.log | zeek-cut query qtype | grep TXT | cut -f1 \
  | rev | cut -d. -f1,2 | rev | sort | uniq -c | sort -rn | head

# Unusual protocol usage (ICMP tunneling, DNS over HTTPS)
cat conn.log | zeek-cut proto id.resp_p orig_bytes | awk '$1 == "icmp" && $3 > 1000'

Filtros de Exfiltração do Wireshark: ```