Les Concern Index avec Cisco Stealthwatch
Cisco Stealthwatch utilise des indices pour détecter des anomalies ou un trafic anormal dans un réseau. Pour ce faire, il utilise des algorithmes heuristiques pour établir une sorte de gabarit qu'on appelle Baseline, ce gabarit sera une référence d'un comportement normal d'un hote dans un réseau.
Cisco Stealthwatch à travers le flow collector qui collecte le flux envoyé par les routeurs et les switchs utilisera des indices de préoccupation appelé Concern Index (CI) pour octroyer des points aux hôtes pour ses différents comportements. Lorsque le nombre de points dépasse le seuil acceptable, le Flow Collector enclenche une alarme.
Ce principe de l'indice (index en anglais) va aider de surcroît à être certain qu'il s'agit d'une activité anormale, ce qui va aider l'administrateur ou l'analyste à commencer les investigations sur ses hôtes.
Si l'ont veut comprendre le concept "Concern Index", prenons l'exemple d'un étranger qui frappe sur la porte de votre maison, vous ouvrez la porte et le monsieur s'excuse et qu'il s'est trompé d'adresse. Dans cette situation, il n'y'a aucune raison ou une indication qui vous persuadera à appeler la police.
Dans ce cas on parle d'un indice de préoccupation (Concern Index) faible donc d'un comportement normal. Cependant si le même étranger continue à faire la même chose en frappant sur les ports des voisins, son comportement devient alors anormal et suspicieux.
Pour décider si vous allez appeler la police ou non, en d'autres termes envoyer une alarme au commissariat, il faut un facteur, une référence ou un gabarit, par exemple l'index de préoccupation augmenterait d'un point ou plusieurs points à chaque fois que l'étranger s'approche d'une porte, votre seuil sera de le voir s'approcher de trois portes, par conséquent à partir de l'instant où il frappe à une troisième porte d'un voisin, vous serez préoccupé d'alerter la police, en d'autres termes, le seuil est franchi alors vous obligé de faire quelque chose et d'agir.
Les indices avec Stealthwatch fonctionnent de la même manière pour protéger votre réseau, en générant des alarmes seulement lorsqu'une activité a atteint un niveau inacceptable et elle a dépassé un seuil tolérable.
S'il l'on revient à la réalité informatique, un seule TCP Reset ne déclenchera pas une alarme même si Stealthwatch lui assigne un point Concern Index (Indice de préoccupation), cependant plusieurs TCP Reset peut générer une alarme en fonction du niveau ou du seuil défini comme acceptable dans Stealthwatch.
Il existe trois types d'indices qui permettent de surveiller les activités anormales :
1-Concern Index (CI) : Surveille les hôtes qui sont en train d'effectuer des activités qui pourrait compromettre l'intégrité de votre réseau
2-Target Index (TI) : Surveille les hôtes qui apparaissent comme des victimes d'une activité anormale d'autres hôtes
3-File Sharing Index (FSI) : Surveille le comportement des activités peer-to-peer (P2P)
