Přeskočit obsah

ASN obohacení

ASN obohacení přidává k IP adresám na události číslo autonomního systému (as.number). Toto číslo identifikuje, kterému autonomnímu systému (síti) IP v datech veřejného směrování patří.

Běží automaticky pro parsery, které zahrnují výchozí enrichery z common library. Rozsahy ASN v UI Lookups neudržujete; vestavěná veřejná databáze DB-IP ASN se aplikuje přes lookup skupinu asn.

ASN enricher zapisuje pouze *.as.number (a related.as.number, když se agregují související IP). Země, město, souřadnice a další polohová pole přicházejí z odděleného geo enricheru, ne z ASN.

K čemu slouží

Analytici používají as.number k:

  • Identifikaci autonomního systému IP (např. 13238) a pivotování vyšetřování na danou síť.
  • Filtrování a seskupování událostí v Discover podle ASN vedle geo polí z geo enricheru.
  • Tvorbě detekcí závislých na neočekávaných ASN (ASN popisuje vlastnictví směrování; geo popisuje polohu).
  • Korelaci skenů, C2 nebo neobvyklého egressu, když několik IP sdílí stejné ASN.

Kontext polohy (země, město, region) stále přichází z geo obohacení na stejné události.

Jak to funguje

V common library je výchozí IP ASN enricher:

Parsers/Default/Enrichers/ip_asn.yaml

define:
  type: parsec/enricher/ip
  group: asn

schema:
  /Schemas/ECS.yaml:
    postfix: as.

  /Schemas/CEF.yaml:
    section: as

Co to znamená:

  • group: asn načte ASN IP rozsahová data z /lookups/asn/ (soubory *.ipr vytvořené IP address processor).
  • S ECS mapuje postfix: as. atribut lookupu number na pole jako source.as.number, destination.as.number nebo client.as.number podle toho, které IP pole bylo vyřešeno.
  • Vestavěná deklarace je Lookups/public-dbip-asn-num.yaml (group: asn, global). V UI není uvedena jako běžný editovatelný lookup; platforma ji připraví pro Parsec.

Pole přidaná ASN enricherem:

Pole události Význam
source.as.number / destination.as.number / … ASN pro IP dané entity
related.as.number Agregovaný seznam ASN ze souvisejících IP na události

Geolokační pole jako source.geo.country_iso_code, destination.geo.city_name nebo related.geo.location vyplňuje Parsers/Default/Enrichers/ip_geo.yaml (group: geo), ne ASN enricher.

Pouze IP, které odpovídají ASN databázi, dostanou as.number. Soukromé nebo nemapované adresy mohou stále dostat geo data a pole ASN nemusí mít.

Příklad události

Po parsování FortiGate traffic logu může obohacení produkovat pole jako (výňatek):

{
  "source.ip": "2a02:6b8:b010:9020::1:abcd",
  "destination.ip": "15.40.71.82",
  "source.as.number": 13238,
  "related.as.number": [13238],
  "source.geo.country_iso_code": "RU",
  "destination.geo.country_iso_code": "US",
  "destination.geo.city_name": "Palo Alto"
}
  • source.as.number / related.as.number: z ASN enricheru.
  • *.geo.*: z geo enricheru.

V tomto vzorku pouze zdrojová IP dostala ASN shodu; cíl může vynechat destination.as.number, pokud se neuplatní záznam ASN.

V Discover můžete hledat například:

source.as.number:13238

nebo:

related.as.number:13238

Použití ASN v detekcích

Chovejte se ke as.number jako k libovolnému poli události v predikátech. Příklad: alert, když provoz zahrnuje konkrétní ASN:

predicate:
  !AND
  - !IN
    what: source.as.number
    where: !EVENT
  - !EQ
    - !ITEM EVENT source.as.number
    - 13238

Pro seznamy povolených/zakázaných ASN vložte čísla do lookupu a testujte členství pomocí !IN / !LOOKUP (viz Lookups v detekcích).

Tipy

  • ASN obohacení závisí na veřejných směrovacích datech. Hodnoty mohou zaostávat za přečíslováním nebo se měnit v čase.
  • Pro přesné filtry používejte as.number. Od ASN enricheru neočekávejte atributy organizace nebo geo; pro polohu použijte geo obohacení.
  • Pokud na veřejných IP chybí as.number, zkontrolujte, že parser zahrnuje výchozí enrichery a že pod /lookups/asn/ jsou ASN lookup soubory (zeptejte se administrátora).
  • Vlastní MaxMind nebo geo zóny z UI nenahrazují ASN; pro polohová data použijte Geolokační vyhledávání a Vlastní MaxMind enricher.

Související