Traffico cifrato
Analisi del traffico cifrato senza decifrarlo
L'analisi del traffico cifrato rileva le minacce nel traffico di rete cifrato con TLS senza decifrarlo, a partire da ciò che resta visibile: chi comunica con chi, quando, con quale frequenza, quanti dati si spostano e quali parametri ha l'handshake TLS. Permette di individuare il beaconing C2 e i trasferimenti anomali; non permette di vedere il contenuto di una sessione.
Il dato da cui partire
TLS 1.3 (RFC 8446, IETF, agosto 2018) cifra tutti i messaggi dell'handshake successivi al ServerHello, compreso il certificato del server, ed elimina lo scambio di chiavi RSA statico. Un sensore passivo con una copia della chiave privata del server non può quindi più decifrare la sessione; serve un proxy di intercettazione o chiavi di sessione esportate dai dispositivi.
Fonte: RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
Che cosa fa oggi NetSenX
- Non decifra mai il traffico: nessun proxy di intercettazione da gestire e nessun certificato di intercettazione da installare sui Suoi dispositivi.
- Rileva il beaconing C2 e i trasferimenti in uscita anomali nel traffico cifrato a partire da tempi, volumi e destinazioni, e dal piano Starter anche dall'handshake TLS. L'handshake è visibile solo dove l'agente cattura i pacchetti: su Linux o come sensore su una porta SPAN o TAP, non nella modalità di base usata su macOS.
- Sull'host monitorato l'agente legge il nome del server e i parametri dell'handshake TLS, oltre alle risposte alle query DNS, per associare ogni connessione al servizio che raggiunge. Non legge il contenuto cifrato di una sessione.
- Spiega ogni avviso in linguaggio semplice, indicando le caratteristiche di rete che ne hanno determinato il punteggio, in tutti i piani.
Che cosa NetSenX non fa
Senza decifratura, NetSenX non vede che cosa contiene una sessione: un file malevolo scaricato via HTTPS, il testo di un'e-mail o il contenuto di un caricamento. La protezione degli endpoint (EDR) e la sicurezza della posta coprono questo ambito. Se l'ispezione dei contenuti è un requisito, scelga uno strumento che decifra il traffico e pianifichi la gestione dei contenuti decifrati.
Domande degli acquirenti
Un NDR può rilevare minacce nel traffico cifrato senza decifrarlo?
Sì, a partire dai metadati. Tempi, volumi, destinazioni e handshake TLS restano visibili quando il contenuto è cifrato, quindi il beaconing verso un server C2 e i trasferimenti anomali si possono rilevare senza violare la cifratura. Resta invisibile il contenuto della sessione.
Che cosa legge NetSenX da una connessione cifrata?
I metadati del flusso (chi si connette con chi, quando, con quale frequenza e quanti dati si spostano) e alcuni campi di protocollo: il nome del server e i parametri dell'handshake TLS, oltre alle risposte alle query DNS. Non decifra mai la sessione e non ne legge il contenuto cifrato.
Perché non decifrare il traffico TLS per ispezionarlo?
La decifratura dà visibilità sui contenuti, ma richiede un punto di intercettazione che custodisce chiavi, un certificato di intercettazione su ogni dispositivo e la gestione di contenuti decifrati che possono includere dati personali. Da TLS 1.3 un sensore passivo non può più decifrare le sessioni con una copia della chiave privata del server.
I metadati di rete sono dati personali ai sensi del GDPR?
Possono esserlo. Nella causa Breyer (C-582/14, 19 ottobre 2016) la Corte di giustizia dell'UE ha stabilito che un indirizzo IP dinamico può costituire un dato personale. NetSenX pubblica un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR e conserva i dati dei clienti nell'UE.
Fonti
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3, IETF, August 2018 (section 1.2)
- Court of Justice of the EU, Case C-582/14 (Breyer), judgment of 19 October 2016 — EUR-Lex
Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.
Pagine correlate
Provate NetSenX sulla vostra rete
Iniziate con il piano Free per un massimo di 3 dispositivi, oppure prenotate una demo di 20 minuti.