Perché la telemetria di rete è il fondamento della visibilità
Non puoi proteggere ciò che non vedi. In un’architettura moderna, gran parte del traffico è cifrato e i perimetri sono sfumati: firewall e IPS vedono solo ciò che attraversa un chokepoint, mentre gli spostamenti east-west all’interno del data center restano ciechi. La network telemetry risolve questo problema trasformando l’infrastruttura stessa (router, switch, firewall) in una rete di sensori che riporta chi parla con chi, quando, per quanto e con quale volume.
La sorgente primaria è NetFlow (e il suo standard IETF IPFIX). Ogni flusso viene descritto dalla classica 5-tuple — IP sorgente, IP destinazione, porta sorgente, porta destinazione, protocollo — arricchita da byte, pacchetti, timestamp e interfacce. Con Flexible NetFlow su IOS-XE puoi definire campi key e non-key personalizzati. Il punto chiave d’esame: NetFlow fornisce metadati, non payload. Questo lo rende leggero, sempre disponibile anche sul traffico cifrato e ideale come base per l’analisi comportamentale.
Secure Network Analytics (Stealthwatch) e il rilevamento comportamentale
Cisco Secure Network Analytics (ex Stealthwatch) consuma NetFlow su larga scala. I componenti fondamentali sono:
| Componente | Ruolo |
|---|---|
| Flow Collector | Raccoglie e normalizza NetFlow/IPFIX dai dispositivi |
| Flow Sensor | Genera telemetria dove i device non esportano NetFlow |
| Manager (SMC) | Console di analisi, alert e reportistica |
Il valore non sta nel singolo flusso ma nel baseline comportamentale: SNA raggruppa gli host in host groups, costruisce un profilo di normalità e segnala scostamenti. Un endpoint che improvvisamente contatta centinaia di destinazioni, o che invia verso l’esterno molti più byte del solito, genera un Security Event (es. Suspect Data Loss, Data Hoarding). Grazie a Encrypted Traffic Analytics (ETA), sfruttando IDP (Initial Data Packet) e SPLT (Sequence of Packet Lengths and Times), SNA individua malware nel traffico cifrato senza decrittarlo.
Le tecniche di esfiltrazione dati
Un attaccante che ha compromesso un host deve portare i dati fuori, spesso mascherandoli in protocolli legittimi:
- DNS tunneling — dati codificati nei sottodomini delle query DNS. Difficile da bloccare perché il DNS è quasi sempre permesso in uscita.
- HTTPS/HTTP — esfiltrazione dentro sessioni web apparentemente normali; il canale cifrato nasconde il contenuto.
- ICMP — dati nel payload di echo request/reply (ping tunneling).
- FTP / SCP / SFTP — trasferimento diretto di file, in chiaro o cifrato.
- NTP — sfruttamento dei campi estesi del protocollo di sincronizzazione oraria come canale covert.
- IRC / messenger — canali di chat usati per C2 ed estrazione dati.
Come telemetria e sicurezza DNS-layer le individuano
L’approccio vincente è stratificato:
- Cisco Umbrella agisce al livello DNS, prima ancora che la connessione si stabilisca. Ogni query passa dai resolver Umbrella, che bloccano domini malevoli e — grazie a modelli statistici su entropia, lunghezza ed frequenza dei sottodomini — riconoscono specificamente il DNS tunneling, spesso non risolvibile da un firewall tradizionale.
- Secure Network Analytics individua i pattern volumetrici e comportamentali: un tunnel ICMP produce ping anomali per volume e regolarità; un flusso NTP con troppi byte, o una sessione HTTPS lunghissima e sbilanciata in upload, emergono come deviazioni dal baseline anche senza ispezione del payload.
La combinazione è la risposta d’esame: Umbrella taglia la minaccia al primo hop DNS, SNA cattura ciò che riesce a passare osservando il comportamento del traffico.
Trappole tipiche d’esame
- Scenario: un host esfiltra dati codificandoli nei sottodomini di query DNS ricorrenti. → Risposta giusta: è DNS tunneling; si rileva/blocca con Cisco Umbrella (DNS-layer) e/o Secure Network Analytics, non con un semplice ACL sulla porta 53.
- Scenario: ping continui con payload insolitamente grandi verso un IP esterno. → Risposta giusta: ICMP usato come canale covert; individuabile solo con la telemetria/NetFlow e l’analisi comportamentale, perché per firma appare traffico lecito.
- Scenario: vuoi rilevare malware in traffico cifrato senza decrittarlo. → Risposta giusta: Encrypted Traffic Analytics in Secure Network Analytics (analisi di IDP e SPLT), non l’ispezione del payload.
- Scenario: ti chiedono la sorgente di dati per l’analisi anomalie di SNA. → Risposta giusta: NetFlow/IPFIX (metadati dei flussi), non i log del firewall o full packet capture.
- Scenario: flusso NTP con byte anomali. → Risposta giusta: possibile canale covert; NTP è spesso trascurato e passa inosservato senza telemetria che ne evidenzi il profilo volumetrico.