Metadatenfelder zur Netzwerksicherheit in Vectra AI

Diese Seite enthält eine strukturierte Übersicht über die Metadatenfelder für Netzwerksicherheit, die in der Vectra AI verwendet werden. Sie definiert allgemeine Schemaattribute, Konnektivitätsfelder auf Sitzungsebene, protokollspezifische Telemetrie (DNS, HTTP, SMB, LDAP usw.), Authentifizierungsmetadaten (Kerberos, NTLM, RADIUS), Übereinstimmungsattribute auf Erkennungsebene und Fingerabdrücke für verschlüsselte Kommunikation (SSL/TLS, SSH, X.509). Diese normalisierten Metadatenströme ermöglichen Verhaltensanalysen, domänenübergreifende Korrelationen und die Sichtbarkeit verschlüsselter Datenströme, ohne dass eine vollständige Paketerfassung erforderlich ist. Zusammen bilden sie die Grundlage für skalierbare Netzwerkbeobachtbarkeit und Sicherheitsuntersuchungen in hybriden Unternehmensumgebungen.

Diese normalisierten Metadatenströme unterstützen threat hunting, die Anreicherung von Metadaten und die Metadatenforensik, indem sie Verhaltensanalysen, domänenübergreifende Korrelationen und die Sichtbarkeit verschlüsselter Datenströme ermöglichen, ohne dass eine vollständige Paketerfassung erforderlich ist. Zusammen bilden sie die Grundlage für eine skalierbare Netzwerkbeobachtung und -untersuchung in hybriden Unternehmensumgebungen.

Gemeinsame Netzwerk-Metadatenfelder für alle Telemetriestreams (außer DHCP)

Diese Felder kommen in fast jedem Metadatenstrom vor und definieren das gemeinsame Verbindungsschema, das für alle Metadatentypen verwendet wird. Sie erfassen Herkunfts- und Antwort-Identifikatoren, Ports, Hostnamen, Ortskennzeichen, Sensorattribute, Zeitstempel und eine stabile Verbindungs-UID.

Behandeln Sie diese Felder als Basis-Join-Schlüssel. Sie verankern Metadatenanreicherungs-Workflows, indem sie es ermöglichen, Protokoll-, Authentifizierungs- und Erkennungsdatensätze mit derselben Sitzung und Entität zu verknüpfen. Bei threat hunting der Metadatenforensik ermöglicht diese Konsistenz ein zuverlässiges Pivoting über Telemetrieebenen hinweg.

Die meisten nachfolgenden Protokolltabellen erweitern dieses Schema und übernehmen gleichzeitig diesen gemeinsamen Kontext. Dadurch bleiben die Attributintegrität und die Sitzungskontinuität über Netzwerk-Metadatenströme hinweg erhalten.

Beacon-Metadatenfelder und Verhaltenskommunikationsmuster

Beacon-Metadaten beschreiben die wiederholte Kommunikation zwischen einem Ursprung und einem Ziel über mehrere Sitzungen hinweg. Die folgenden Felder erfassen die Beacon-Kennung, Zeitgrenzen, Sitzungsanzahl, Byte-Volumen pro Richtung, Protokoll-/Dienstkontext und Client-Fingerprinting, die zur Zusammenfassung des Musters verwendet werden.

Die Beacon-Analyse wird häufig bei threat hunting eingesetzt threat hunting Command-and-Control-Callbacks, Automatisierungsschleifen und persistente ausgehende Kommunikation zu identifizieren. Anstatt Pakete zu untersuchen, stützen sich Analysten auf Metadatentypen, die Periodizität und Konsistenz beschreiben.

Verwenden Sie diese Felder, um Dauer, Häufigkeit und Richtungsvolumen zu bewerten. Wechseln Sie dann zu DNS-, HTTP- oder SSL/TLS-Metadaten, um während der Metadaten-Forensik einen tieferen Einblick in den Verhaltenskontext zu erhalten.

Hören Sie auf, nach dem „Was“ hinter Netzwerkwarnungen zu suchen.

Beaconing ist nur ein Verhaltenssignal. Wenn verdächtige Netzwerk-Metadaten ausgelöst werden, müssen Analysten dennoch verstehen, welcher endpoint oder welche Identität dies ausgelöst hat. Ohne diese Verknüpfung kommen die Untersuchungen zum Stillstand.

Siehe endpoint korrelation

DCE-RPC-Metadatenfelder und Attribute für Remote Procedure Calls

DCE-RPC-Metadaten erfassen das Verhalten von Remote Procedure Calls, die üblicherweise mit der Windows-Administration und der Interaktion von Diensten in Verbindung stehen. Diese Felder kodieren den Domänenkontext, endpoint , aufgerufene Operationen, die Zuordnung von Benutzernamen und das Timing von Anfragen/Antworten.

Bei threat hunting helfen DCE-RPC-Metadaten dabei, anomale Remote-Ausführungssequenzen und Muster der Privilegienverwendung aufzudecken, ohne dass endpoint erforderlich sind.

Verwenden Sie Operationsnamen und Benutzername-/Host-Kontext, um routinemäßige Verwaltungsabläufe von lateralen Bewegungsaktivitäten während der Metadaten-Forensik zu unterscheiden.

DHCP-Metadatenfelder und Netzwerkkonfigurationsattribute

DHCP-Metadaten zeichnen dynamische Adressierungen und Konfigurationszuweisungen auf, die Geräte in das Netzwerk einbinden. Diese Metadatentypen verknüpfen zugewiesene IPs mit MAC-Adressen und Hostnamen und zeichnen gleichzeitig die Leasingdauer und die DHCP/DNS-Serverzuordnung auf.

Da IP-Fluktuation die Untersuchung erschwert, bieten DHCP-Datensätze wichtige Metadaten, um die Kontinuität der Zuordnung zu gewährleisten.

Verwenden Sie DHCP-Felder, um Untersuchungen zu stabilisieren, wenn sich IP-Adressen ändern, und verankern Sie die Identität in Attributen auf Geräteebene statt in kurzlebigen Adressen.

DNS-Metadatenfelder und Abfrageantwortattribute

DNS-Metadaten repräsentieren das Verhalten der Domainauflösung, einschließlich Abfrageabsicht, Rekursionsbehandlung, Antwortcodes, Trunkierungsflags, TTL-Werten und Datensatzanzahlen.

DNS-Netzwerk-Metadaten sind für threat hunting von zentraler Bedeutung, threat hunting sie ohne Überprüfung der Nutzlast Informationen über Staging-Infrastrukturen, Domain-Fluxing, Aufklärungsaktivitäten und fehlgeschlagene Rückrufversuche offenlegen.

DNS-Metadaten ermöglichen Einblicke in:

• Welche Domains wurden abgefragt und von wem?
  
• Ob Rekursion angefordert oder verfügbar war
  
• Wie autoritative Antworten zurückgegeben wurden
  
• Welche Antwortcodes und TTL-Werte wurden beobachtet?

Verwenden Sie DNS-Metadaten-Forensik, um Absicht und Ergebnis zu interpretieren, was abgefragt wurde, was zurückgegeben wurde und ob die Auflösung fehlgeschlagen ist, und wechseln Sie dann zu TLS- oder HTTP-Metadaten, um die Analyse zu erweitern.

HTTP-Metadatenfelder und Web-Sitzungsattribute

HTTP-Metadaten fassen das Verhalten der Webschicht zusammen, ohne vollständige Nutzdaten zu speichern. Diese Felder erfassen aus Headern abgeleitete Kontexte, Methoden, URIs, Proxy-Weiterleitungsindikatoren, Fingerprinting-Attribute und direktionale Byte-/Paketmetriken.

Bei der Untersuchung von Netzwerk-Metadaten liefern HTTP-Felder Kontextinformationen auf Anwendungsebene für threat hunting, darunter verdächtige Dateiübertragungen, skriptgesteuerte Rückrufe und anomale Header-Strukturen.

Verwenden Sie HTTP-Metadaten, um das Webverhalten zu rekonstruieren, und korrelieren Sie diese dann mit DNS- und TLS-Metadatentypen, um die Identität des Ziels und die Verschlüsselungseigenschaften zu bestätigen.

iSession-Konnektivitätsmetadaten und Netzwerkattribute auf Sitzungsebene

Die Metadaten von iSession definieren das normalisierte Sitzungsmodell, das protokollübergreifend verwendet wird. Sie erfassen den Verbindungsstatus, die Richtungszuverlässigkeit, Zeitmarken, Fingerprinting-Varianten, den VLAN-Kontext und die Anzahl der Richtungsbytes/Pakete.

Diese Abstraktion auf Sitzungsebene ermöglicht eine skalierbare Metadatenanreicherung, indem sie die Darstellung von Netzwerkmetadaten unabhängig vom Protokoll standardisiert.

Behandeln Sie iSession als Dreh- und Angelpunkt bei threat hunting. Es sorgt für eine stabile Sitzungskontinuität über Protokoll-, Authentifizierungs- und Erkennungsmetadatentypen hinweg.

Verbindungsstatuswerte und Indikatoren für den Lebenszyklus von TCP-Sitzungen

Verbindungsstatuswerte geben Auskunft darüber, wie eine Sitzung verlaufen ist: hergestellt, abgelehnt, zurückgesetzt, halb geöffnet oder unvollständig. Diese Indikatoren sind Verhaltensmetadaten, die Scans, Sondierungen, instabile Kommunikation oder abgebrochene Sitzungen aufzeigen.

Verwenden Sie Lebenszyklusstatus zusammen mit Zeit- und Volumenfeldern, um Erkundungsmuster während der Metadaten-Forensik zu priorisieren.

Kerberos-Metadatenfelder und Authentifizierungsticket-Attribute

Kerberos-Metadaten erfassen die Ticketausstellung, den Authentifizierungstyp, die Privilegienbewertung, die Verschlüsselungsverhandlung und den Erfolgs-/Fehlerstatus. Diese Metadatentypen auf Identitätsebene sind für die Erkennung von Missbrauch von Anmeldedaten und Privilegienerweiterungen unerlässlich.

Kerberos-Metadaten ermöglichen Einblicke in:

• Konto- und Dienstprivilegstufen (niedrig, mittel, hoch)
  
• Ticketanforderung und Antworttypen (AS, TGT)
  
• Verwendung und Aushandlung von Verschlüsselungsalgorithmen
  
• Bedingungen für erfolgreiche Authentifizierung und Fehler

Verwenden Sie Berechtigungskategorien und Anforderungstypen, um threat hunting Konten und Dienste mit hoher Auswirkung zu konzentrieren, und wechseln Sie dann zur Validierung zu LDAP oder Sitzungstelemetrie.

LDAP-Metadatenfelder und Verzeichnisabfrageattribute

LDAP-Metadaten fassen das Such- und Bindungsverhalten des Verzeichnisses zusammen, einschließlich Abfragebereich, Attributauswahl, Ergebnisanzahl und Fehlerbedingungen.

Die Forensik von Verzeichnis-Metadaten ist besonders nützlich, um Enumerationen zu identifizieren, die einem Authentifizierungsmissbrauch vorausgehen.

Verwenden Sie das Ergebnisvolumen und Fehlermuster, um routinemäßige Suchvorgänge von groß angelegten Erkundungen während threat hunting zu unterscheiden.

Match und Warnsignaturattribute Match

Match stellen eher ausgewertete Erkennungsergebnisse als rohe Telemetriedaten dar. Diese Metadatentypen beschreiben die Signaturidentität, den Schweregrad, den Revisionsstatus, den Einsatzbereich und den Paketkontext.

Diese Ebene spiegelt wider, wie Netzwerk-Metadaten von der Erkennungslogik interpretiert wurden.

Verwenden Sie Match-Metadaten, um zu verstehen, warum eine Erkennung ausgelöst wurde, und kehren Sie dann zu den zugrunde liegenden Protokoll- und Sitzungsmetadaten zurück, um eine vollständige Rekonstruktion durchzuführen.

NTLM-Metadatenfelder und Authentifizierungsantwortattribute

NTLM-Metadaten erfassen Authentifizierungsversuche und -ergebnisse, darunter Host, Domäne, Benutzername, Statuscode und Erfolgszustand.

In Umgebungen, in denen NTLM aktiv bleibt, sind diese Metadatentypen wichtig, um den Missbrauch der Fallback-Authentifizierung zu erkennen.

Verwenden Sie wiederholte Fehler oder ungewöhnliche Erfolgsmuster als threat hunting und korrelieren Sie diese dann mit SMB- oder RDP-Metadaten.

RDP-Metadatenfelder und Attribute der Remotedesktop-Sitzung

RDP-Metadaten erfassen interaktive Remote-Sitzungsattribute, darunter Client-Identität, Versionierung, Anzeigeeigenschaften und Verschlüsselungsindikatoren.

Diese Metadatentypen unterstützen die Untersuchung von administrativen Zugriffsmustern, ohne dass Inhalte entschlüsselt werden müssen.

Erwartete Basis-Fernzugriffsmuster und Kennzeichnung von Abweichungen während der Metadaten-Forensik.

RADIUS-Metadatenfelder und Authentifizierungs-Accounting-Attribute

RADIUS-Metadaten zeichnen das Verhalten der Zugriffskontrolle, Authentifizierung und Abrechnung auf, einschließlich Sitzungskennungen, Dauer, Paket-/Byte-Zähler, Adressierung und Richtlinienmarkierungen.

Diese Netzwerk-Metadatentypen helfen dabei, Fernzugriffspfade über VPN-, NAC- oder drahtlose Systeme zu verfolgen.

Verwenden Sie Buchhaltungs- und NAS-Kontextfelder, um den Zugriffsumfang und die Zugriffsdauer zu validieren, bevor Sie zu SMB- oder RDP-Aktivitäten übergehen.

Erweiterte RADIUS-Metadatenfelder und Netzwerkzugriffskontrollattribute

Erweiterte RADIUS-Metadaten fügen Geräte- und Durchsetzungskontext hinzu: NAS-Kennungen und -Ports, Sitzungs- und Leerlauf-Timeouts, Tunnelendpunkte, externe Quellenindikatoren, Antwortzeiten und ob sensible Felder (wie Passwörter) beobachtet wurden. Diese Felder helfen bei der Interpretation, wie Zugriffsentscheidungen umgesetzt wurden.

Verwenden Sie NAS- und Tunnelkontext, um genau zu bestimmen, wo der Zugriff gewährt wurde, welcher Dienst angefordert wurde und wie lange er bestand. Dies ist besonders nützlich, wenn Sie Remotezugriffspfade zu internen SMB/RDP-Aktivitäten verfolgen.

SMB-Dateimetadatenfelder und Dateioperationsattribute

SMB-Dateimetadaten erfassen Vorgänge auf Dateiebene, darunter Erstellung, Umbenennung, Löschen beim Schließen, Pfadkontext, SMB-Version und Benutzerzuordnung.

Diese Metadatentypen sind für Untersuchungen ransomware lateraler Staging-Aktivität von entscheidender Bedeutung.

Verwenden Sie Dateiaktionen und Umbenennungsmuster, um destruktives Verhalten bei threat hunting zu identifizieren.

SMB-Zuordnung von Metadatenfeldern und Freigabeverbindungsattributen

SMB-Mapping-Metadaten erfassen Baumverbindungen und Freigabeverbindungen vor der Dateiinteraktion.

Diese Schicht sorgt für eine Anreicherung der Metadaten, indem sie die Identität des Benutzers mit dem Kontext des gemeinsamen Zugriffs verknüpft.

Verwenden Sie Mapping-Ereignisse, um die Zugriffsherkunft festzustellen, bevor Sie Vorgänge auf Dateiebene analysieren.

SMTP-Metadatenfelder und E-Mail-Header-Attribute

SMTP-Metadaten erfassen E-Mail-Header-Attribute und Authentifizierungsergebnisse, darunter SPF, DKIM, DMARC, TLS-Nutzung und Ursprungs-IP. E-Mail-bezogene Netzwerk-Metadaten unterstützen threat hunting phishing und gefälschten Absendern.

Verwenden Sie Authentifizierungsergebnisse und Relay-Chain-Metadaten für die forensische Validierung der Legitimität des Absenders.

SSH-Metadatenfelder und verschlüsselte Sitzungsverhandlungsattribute

SSH-Metadaten erfassen Verhandlungsdetails wie Client-/Server-Versionen, Schlüsselaustausch, Verschlüsselungsauswahl, MAC-Algorithmus und Fingerprint-Hashes. Diese Metadatentypen unterstützen die Identifizierung von anomalen Verwaltungstools und nicht autorisiertem Remote-Shell-Verhalten.

Verwenden Sie Algorithmus- und Fingerabdruckfelder, um erwartete Verwaltungstools zu definieren und ungewöhnliche Clients oder Verhandlungsmuster zu identifizieren. Wechseln Sie dann zur Sitzungsverbindung, um Dauer, Richtung und Volumen derselben SSH-Sitzung zu verstehen.

SSL/TLS-Metadatenfelder und verschlüsselte Sitzungsattribute

SSL/TLS-Metadaten erfassen Handshake-Verhandlungen und Zertifikatsaustauschmerkmale für verschlüsselte Sitzungen. Die folgenden Felder umfassen Protokollversionen, ausgewählte Verschlüsselungssuiten, Kurvenparameter, Client-/Server-Erweiterungen, Aussteller-/Subjekt-Identifikatoren, SNI- und JA3/JA4-Fingerabdrücke sowie den Einrichtungsstatus.

Verwenden Sie TLS-Fingerabdrücke und SNI/Zertifikatskontext, um Client-/Server-Implementierungen und die Identität des Ziels zu identifizieren, und wechseln Sie dann zu X.509, um die Zertifikatseigenschaften und die SAN-Abdeckung für eine tiefergehende Vertrauensanalyse zu überprüfen.

Metadatenfelder des X.509-Zertifikats und Attribute des digitalen Zertifikats

X.509-Metadaten zeichnen Zertifikatsidentität und Vertrauenseigenschaften auf, darunter die Zusammensetzung von Subjekt/Aussteller, Gültigkeitsfenster, SAN-Werte, Schlüssellänge, Signaturalgorithmus und JA4X-Fingerabdruck. Diese Metadatentypen unterstützen die forensische Untersuchung zertifikatsbasierter Metadaten und die Erkennung verdächtiger Infrastrukturen.

Verwenden Sie X.509-Attribute, um die Vertrauenswürdigkeit zu bewerten und Muster wiederzuverwenden, und korrelieren Sie diese dann mit TLS- und DNS-Metadaten, um die Untersuchungskette zu vervollständigen.