Ograniczenia i pułapki

Okresy, w których nie odbywało się gromadzenie danych lub dane nie dotarły do wszystkich miejsc. Lista jest generowana na podstawie analiz zdarzeń i nie jest aktualizowana ręcznie – każda luka odnosi się do zdarzenia, które ją spowodowało. Jako źródło prawdy służą pliki z archiwum, a nie liczby w bieżącym dzienniku syslog.

Źródło: data_gaps wszystkich zdarzeń w sekcji Incydenty

Nie wszystkie dane pochodzą od atakujących. Te wartości dotyczą monitorowania i testów przeprowadzanych podczas wdrażania i przed analizą należy je odrzucić.

Błędy, które łatwo popełnić przy pracy z danymi – jak je rozpoznać i jak ich uniknąć.

• Prefiks ::ffff: w adresach IPv4 Cowrie zapisuje adresy IPv4 w formacie ::ffff:203.0.113.5. Bez usunięcia prefiksu ten sam atakujący zostanie zaliczony dwukrotnie – raz przez Cowrie, a drugi raz przez pozostałe czujniki.
• Porty przekierowane na srv4 Cowrie na srv4 wykrywa porty 42222 i 42223, a hpweb – porty 42280 i 42443. Nie są to porty, na które celował atakujący, ale cele przekierowania w nftables. Rzeczywisty port docelowy zna tylko hptcp. W przypadku cowrie i hpweb na serwerze srv4 należy zignorować ten port lub wywnioskować go na podstawie sesji.
• Własna działalność Sondy monitorujące, dane testowe z wdrożenia oraz polecenia diagnostyczne agentów i operatora. Konkretne wartości, które należy odfiltrować, podano w tabeli powyżej.
• Kampanie Poszczególne kampanie generowały większość dziennego ruchu. Bez oddzielenia kampanii od podstawowego szumu wykres natężenia ruchu wygląda jak trend lub jak awaria systemu gromadzenia danych.
• Czas zdarzenia, a nie czas przetwarzania Do analiz czasowych należy wykorzystywać znacznik czasu zawarty w zdarzeniu. Kopie logów na serwerze zbiorczym zawierają również czas odbioru, który może być opóźniony o kilka godzin, a nawet dni.
• Serwery nieporównywalne srv4 oferował o rząd wielkości większą powierzchnię niż srv3. Nie można porównywać bezwzględnych liczb obu serwerów, a jedynie ich strukturę i kolejność.
• Zmiana formatu w trakcie działania Podczas kontroli agenci modyfikowali konfigurację, przez co format niektórych wpisów mógł ulec zmianie w trakcie działania programu. Konkretne zmiany dodam po przeanalizowaniu danych; ich ślad można znaleźć w protokole działania.

Lepiej od razu określić granice tego, co dane są w stanie udźwignąć.

• Dwa serwery to nie statystyka Wyniki opisują dane, które dotarły do dwóch konkretnych serwerów. Nie można na ich podstawie wyciągać ogólnych wniosków dotyczących całego internetu.
• Jeden dostawca, jedna lokalizacja Oba serwery działały u tego samego dostawcy. Atakujący celują w różne zakresy adresów, więc w innych przypadkach struktura ruchu mogłaby wyglądać inaczej.
• Niecały miesiąc Analiza uwzględniła kampanie, które właśnie się odbywały – a nie długoterminowe trendy ani sezonowość.
• Kraj, z którego pochodzi adres, nie jest krajem pochodzenia napastnika Geolokalizacja wskazuje, gdzie zarejestrowano adres źródłowy. Ataki są zazwyczaj przeprowadzane za pośrednictwem wynajętych serwerów, serwerów proxy i zainfekowanych urządzeń, więc kraj, z którego pochodzi adres, nie wskazuje, skąd pochodzi atakujący.
• Porównanie modeli językowych Każdy serwer obsługiwał inny model, ale dwa przebiegi to za mało, by ocenić, który model jest lepszy. Różnice w danych mogą wynikać z wielu przyczyn, od oferowanej powierzchni po poszczególne decyzje techniczne.

Zgodnie z RODO adres IP źródłowy stanowi dane osobowe. Na potrzeby analizy gromadzono go w pełnej postaci, natomiast w wynikach pojawia się on wyłącznie w postaci zagregowanej.

Sposób pseudonimizacji opublikowanych danych surowych oraz informacje o tym, co w wyniku tego procesu zostanie utracone, podam wraz z opublikowaniem danych.