Contents

Introdução

Informações de Apoio

WSA - Participação de rede WebBase

ESA - Participação de rede SenderBase

Perguntas frequentes sobre questões gerais de segurança

Operação

Participação de rede SenderBase (e-mail)

Estatísticas compartilhadas por EmailAppliance

Estatísticas compartilhadas por endereço IP

Estatísticas Compartilhadas por Cliente SDS

Dados de telemetria do AMP SBNP

Participação de rede WebBase (Web)

Estatísticas compartilhadas por solicitação da Web

Estatísticas avançadas de malware por solicitação da Web

Feed de estatísticas de feedback do usuário final

Exemplo de Dados Fornecidos - Participação Padrão

Exemplo de dados fornecidos - Participação limitada

Decodificação WBNP completa

Estatísticas compartilhadas por solicitação da Web

Estatísticas avançadas de malware por solicitação da Web

Feed de estatísticas de feedback do usuário final

Conteúdo de detecção do Talos

Foco em ameaças

Informações Relacionadas

Introdução

Este documento descreve o caminho de retorno dos dados de telemetria para a Cisco e o Talos.

Informações de Apoio

Os produtos de segurança de conteúdo de e-mail e Web da Cisco podem fornecer dados de telemetria para a Cisco e a Talos para aumentar a eficácia da categorização da Web no Web Security Appliance (WSA) e da conexão da reputação de IP para o Email Security Appliance (ESA).

Os dados de telemetria são fornecidos para o WSA e o ESA por opção.

Os dados são transmitidos através de pacotes criptografados SSL codificados em binário. Os anexos incluídos fornecem informações sobre os dados, formatação específica e descrições para os dados que estão sendo transmitidos.

Os dados de Participação de Rede WebBase (WBNP - WebBase Network Participation) e Participação de Rede SenderBase (SBNP - SenderBase Network Participation) não podem ser exibidos em um log direto ou formato de arquivo.  Esses dados são transmitidos de forma criptografada.  Em nenhum momento esses dados estão 'parados'.

WSA - Participação de rede WebBase

A Cisco reconhece a importância de manter sua privacidade e não coleta nem usa informações pessoais ou confidenciais, como nomes de usuário e senhas. Além disso, os nomes de arquivo e os atributos de URL incluídos com o nome do host são obscurecidos para garantir confidencialidade.

Quando se trata de transações HTTPS descriptografadas, a rede SensorBase recebe apenas o endereço IP, a pontuação de reputação na Web e a categoria de URL do nome do servidor no certificado.

Para obter informações completas, consulte o Guia do usuário do WSA para obter a versão do AsyncOS para Web Security atualmente em execução no seu equipamento.

Consulte Cisco SensorBase Network no Guia do usuário do ESA.

ESA - Participação de rede SenderBase

Se você estiver participando da rede SenderBase, você permitirá que a Cisco colete estatísticas de tráfego de e-mail agregadas sobre sua organização, aumentando a utilidade do serviço para todos os usuários. A participação é voluntária. A Cisco coleta apenas dados de resumo sobre atributos de mensagens e informações sobre como diferentes tipos de mensagens foram tratadas pelos dispositivos da Cisco. Por exemplo, a Cisco não coleta o corpo da mensagem ou o assunto da mensagem. As informações de identificação pessoal e as informações que identificam a sua empresa são mantidas em sigilo.

Para obter informações completas, consulte o Guia do usuário do ESA para obter a versão do AsyncOS para ESA Security atualmente em execução no seu dispositivo.

Consulte o capítulo Participação de rede SenderBase no Guia do usuário.

Perguntas frequentes sobre questões gerais de segurança

Pergunta:

Onde os dados coletados são armazenados?

Resposta:

A telemetria do dispositivo é armazenada em data centers da Cisco nos EUA.

Pergunta:

Quem tem acesso aos dados coletados e armazenados?

Resposta:

O acesso é limitado ao pessoal do Cisco SBG que analisa/usa os dados para criar inteligência acionável.

Pergunta:

Qual é o tempo de retenção dos dados coletados?

Resposta:

Não há política de retenção/expiração de dados relacionada à telemetria do dispositivo. Os dados podem ser mantidos indefinidamente ou podem ser excluídos por vários motivos, incluindo, mas não se limitando a, amostragem/agregação, gerenciamento de armazenamento, idade, relevância para ameaças atuais/futuras, etc.

Pergunta:

Os números de série do cliente ou os endereços IP públicos são armazenados no banco de dados de categorização do Talos?

Resposta:

Não, somente URL e categorias são retidas. O pacote WBNP não contém informações IP de origem.

Operação

Esta seção detalha a operação, o tipo de dados (por descrição) e um exemplo de dados para demonstrar as informações que seriam transmitidas:

- SBNP - Tipos de dados específicos (campos) e dados de exemplo relacionados à Segurança de e-mail

- WBNP - Tipos de dados específicos (campos) e dados de exemplo relacionados à Segurança da Web

- Operação de detecção de ameaças - visão geral da detecção de ameaças de uma perspectiva operacional

Participação de rede SenderBase (e-mail)

Estatísticas compartilhadas por dispositivo de e-mail

Item

Dados de exemplo

Identificador MGA

10012 MGA

Carimbo de data/hora

Dados das 8h às 8h05 em 1º de julho de 2005

Números de versão de software

MGA Versão 4.7.0

Números de Versão do Conjunto de Regras

Conjunto de regras antisspam 102

Intervalo de atualização do antivírus

Atualizações a cada 10 minutos

Tamanho da quarentena

500 MB

Contagem de mensagens de quarentena

50 mensagens atualmente em quarentena

Limite de pontuação de vírus

Enviar mensagens para quarentena no nível de ameaça 3 ou superior

Soma de pontuações de vírus para mensagens que entram em quarentena

120

Contagem de mensagens entrando em quarentena

30 (pontuação média de 4)

Tempo máximo de quarentena

12 horas

Contagem de mensagens de quarentena detectadas pela razão de terem entrado e saído da quarentena correlacionada com o resultado do antivírus

50 entrando em quarentena devido à regra .exe 30 saindo da quarentena devido à versão manual e todas as 30 eram positivas para vírus

Contagem de mensagens em quarentena detectadas pela ação executada ao sair da quarentena

10 mensagens tinham anexos removidos depois de sair da quarentena

Soma de tempo em que as mensagens foram mantidas em quarentena

20 horas

Estatísticas compartilhadas por endereço IP

Item

Dados de exemplo

Participação Padrão

Participação limitada

Contagem de mensagens em vários estágios dentro do dispositivo

Visto pelo mecanismo antivírus: 100

Visto pelo mecanismo Anti-Spam: 80

Soma de pontuações e vereditos de antisspam e antivírus

2.000 (soma das pontuações antisspam de todas as mensagens vistas)

Número de mensagens atingindo diferentes combinações de regras de Antisspam e Antivírus

100 mensagens atingem as regras A e B

50 mensagens atingem somente a regra A

Número de conexões

20 conexões SMTP

Número total de destinatários inválidos

50 destinatários no total

10 destinatários inválidos

Nome(s) de arquivo com hash: (a)

Um arquivo <hash unidirecional>.pif foi encontrado dentro de um anexo de arquivo chamado <hash unidirecional>.zip.

Nome de arquivo sem fuscação

Nome de Arquivo com Hash

Nome(s) de arquivo obscuro(s): (b)

Foi encontrado um arquivo aaaaaa0.aaa.pif dentro de um arquivo aaaaaa.zip.

Nome de arquivo sem fuscação

Nome de arquivo ofuscado

Nome de host do URL (c)

Link encontrado dentro de uma mensagem para www.domain.com

Nome de host de URL sem fuscação

Nome de host de URL ofuscado

Caminho de URL obscuro (d)

Foi encontrado um link dentro de uma mensagem para o nome de host www.domain.com, e tinha o caminho aaa000aa/aa00aaa.

Caminho de URL sem fuscagem

Caminho de URL ofuscado

Número de mensagens por resultados de verificação de spam e vírus

10 Positivos para spam

10 spam negativo

5 Suspeita de spam

4 Positivo para vírus

16 Vírus Negativo

5 Vírus não verificáveis

Número de mensagens por diferentes vereditos de antisspam e antivírus

500 spams, 300 presuntos

Contagem de Mensagens em Intervalos de Tamanho

125 no intervalo de 30K a 35K

Contagem de tipos de extensão diferentes

300 anexos ".exe"

Correlação de tipos de anexo, tipo de arquivo verdadeiro e tipo de contêiner

100 anexos com extensão ".doc", mas que na verdade são ".exe"

50 anexos são extensões ".exe" dentro de um zip

Correlação de extensão e tipo de arquivo verdadeiro com tamanho do anexo

30 anexos eram ".exe" na faixa de 50 a 55K

Número de mensagens por resultados de Amostragem Estocástica

14 mensagens ignoraram a amostragem

25 mensagens na fila para amostragem

50 mensagens verificadas a partir da amostragem

Número de mensagens que falharam na verificação de DMARC

34 mensagens falharam na verificação de DMARC

Notas:

(a) Os nomes de arquivos são codificados em um hash unidirecional (MD5).

b) Os nomes de arquivos são enviados de forma ofuscada, com todas as letras ASCII minúsculas ([a-z]) substituídas por "a", todas as letras ASCII maiúsculas ([A-Z]) substituídas por "A", todos os caracteres UTF-8 multibyte substituídos por "x" (para fornecer privacidade para outros conjuntos de caracteres), todos os dígitos ASCII ([0-9]) substituídos.

(c) Os nomes de host de URL apontam para um servidor Web que fornece conteúdo, da mesma forma que um endereço IP. Não são incluídas informações confidenciais, como nomes de usuário e senhas.

(d) As informações de URL incluídas com o nome do host são obscurecidas para garantir que nenhuma informação pessoal do usuário seja revelada.

Estatísticas Compartilhadas por Cliente SDS

Item

Dados de exemplo

Carimbo de Data/Hora

Versão do cliente

Número de solicitações feitas ao Cliente

Número de solicitações feitas do Cliente SDS

Resultados de tempo para pesquisas de DNS

Resultados do tempo de resposta do servidor

Tempo para estabelecer conexão com o servidor

Número de conexões estabelecidas

Número de conexões abertas simultâneas com o servidor

Número de solicitações de serviço para WBRS

Número de solicitações que atingiram o cache WBRS local

Tamanho do cache local WBRS

Resultados de tempo de resposta do WBRS remoto

Dados de telemetria do AMP SBNP

Formato

Dados de exemplo

amp_verdicts' : { ("veredicto", "spyname", "pontuação", "carregado", "file_name"),

("verdict", "spyname", "score", "uploaded", "file_name"),

("verdict", "spyname", "score", "uploaded", "file_name"),

...

("verdict", "spyname", "score", "uploaded", "file_name"),

}

Descrição

Veredito - da consulta de reputação da AMP

mal-intencionado/limpo/desconhecido

Spyname- Nome do malware detectado

[Trojan-Test]

Pontuação - pontuação de reputação atribuída pela AMP

[1-100 ]

Carregar - a nuvem da AMP é indicada para carregar o arquivo

1

Nome do arquivo - Nome do anexo do arquivo

abcd.pdf

Participação de rede WebBase (Web)

Estatísticas compartilhadas por solicitação da Web

Item

Dados de exemplo

Participação Padrão

Participação limitada

Versão

coeus 7.7.0-608

Serial Number

Fator de amostragem SBNP (volume)

Fator de amostragem SBNP (Rate)

1

Porta e IP de destino

segmentos de caminho de URL sem ofuscação

segmentos de caminho de URL com hash

Categoria de malware escolhido pelo Anti-Spyware

Ignorado

Pontuação WBRS

4.7

Veredito de categoria de malware da McAfee

URL de referência

segmentos de caminho de URL sem ofuscação

segmentos de caminho de URL com hash

ID do Tipo de Conteúdo

Marca de decisão da ACL

0

Categorização da Web legada

Categoria da Web do CIWUC e origem da decisão

{'src': 'req', 'cat': '1026'}

Nome do aplicativo AVC

Anúncios e rastreamento

Tipo de aplicativo AVC

Redes de anúncios

Comportamento do AVC App

Não seguro

Rastreamento de resultados internos AVC

[0,1,1,1 ]

Rastreamento de agente de usuário via estrutura de dados indexada

3

Estatísticas avançadas de malware por solicitação da Web

Estatísticas da AMP

Veredito - da consulta de reputação da AMP

mal-intencionado/limpo/desconhecido

Spyname- Nome do malware detectado

[Trojan-Test]

Pontuação - pontuação de reputação atribuída pela AMP

[1-100 ]

Carregar - a nuvem da AMP é indicada para carregar o arquivo

1

Nome do arquivo - Nome do anexo do arquivo

abcd.pdf

Feed de estatísticas de feedback do usuário final

Estatísticas compartilhadas por usuário final erro de categorização Feedback

Item

Dados de exemplo

ID do mecanismo (numérico)

0

Código de Categorização da Web Herdado

Fonte de Categorização da Web do CIWUC

"resp" / "req"

Categoria da Web do CIWUC

1026

Exemplo de Dados Fornecidos - Participação Padrão

# categorized

"http://google.com/": {    "wbrs": "5.8",

"fs": {

"src": "req",

"cat": "1020"

},

}

# uncategorized

"http://fake.example.com": {    "fs": {

"cat": "-"

},

}

Exemplo de dados fornecidos - Participação limitada

- Solicitação original do cliente: www.gunexams.com/Non-Restricted-FREE-Practice-Exams

- Mensagem registrada (no servidor de telemetria): http://www.gunexams.com/76bd845388e0

Decodificação WBNP completa

Estatísticas compartilhadas por dispositivo da Cisco:

Item

Dados de exemplo

Versão

coeus 7.7.0-608

Serial Number

0022190B6ED5-XYZ1YZ2

Modelo

S660

Webroot habilitado

1

AVC habilitado

1

Sophos habilitado

0

Categorização do Lado da Resposta habilitada

1

Mecanismo Anti-Spyware habilitado

default-2001005008

Versão do Anti-Spyware SSE

default-2001005008

Versão de definições do Anti-Spyware Spycat

default-8640

Versão do DAT da lista de bloqueio de URL do Anti-Spyware

Versão do DAT de phishing de URL do Anti-Spyware

Versão do DAT de cookies do Anti-Spyware

Bloqueio de domínio do Anti-Spyware habilitado

0

Limite de risco de ameaça de antisspyware

90

McAfee habilitado

0

Versão do mecanismo McAfee

versão de DAT da McAfee

default-5688

Nível de Detalhes WBNP

2

Versão do Mecanismo WBRS

freebsd6-i386-300036

Versões do componente WBRS

categories=v2-1337979188,ip=1379460997-padrão,palavra-chave=v2-1312487822,prefixcat=v2-1379460670,rule=1358979215-padrão

Limite da Lista de Bloqueios do WBRS

-6

Limite da Lista de Permissões do WBRS

6

WBRS habilitado

1

Mobilidade segura ativada

0

L4 Traffic Monitor ativado

0

Versão da Lista de bloqueio do L4 Traffic Monitor

default-0

Lista de bloqueio administrativa do L4 Traffic Monitor

Portas L4 Traffic Monitor Admin da Lista de bloqueio

Lista de permissões do L4 Traffic Monitor

Portas da lista de permissão do L4 Traffic Monitor

Fator de amostragem SBNP

0.25

Fator de amostragem SBNP (volume)

0,1

Versão do SDK do SurfControl (herdado)

default-0

SurfControl Versão completa do banco de dados (legada)

default-0

Versão do arquivo de Acúmulo Incremental Local SurfControl (herdado)

default-0

Versão do Firestone Engine

default-210016

Versão do DAT Firestone

v2-310003

Versão do AVC Engine

default-110076

versão de DAT AVC

default-1377556980

Versão do mecanismo Sophos

default-1310963572

versão de DAT do Sophos

default-0

Varredura adaptável ativada

0

Limite de pontuação de risco da varredura adaptável

[10, 6, 3]

Limite do fator de carga da varredura adaptativa

[5, 3, 2]

SOCKS ativado

0

Total de transações

Total de transações

Total de transações permitidas

Total de transações de malware detectadas

Total de transações bloqueadas pela política de administração

Total de transações bloqueadas pela pontuação WBRS

Total de transações de alto risco

Total de transações detectadas pelo Monitor de tráfego

Total de transações com clientes IPv6

Total de transações com servidores IPv6

Total de transações usando proxy SOCKS

Total de transações de usuários remotos

Total de transações de usuários locais

Total de transações permitidas usando o proxy SOCKS

Total de transações de usuários locais permitidas usando o proxy SOCKS

Total de transações de usuários remotos permitidas usando o proxy SOCKS

Total de transações bloqueadas usando proxy SOCKS

Total de transações de usuários locais bloqueadas usando o proxy SOCKS

Total de transações de usuários remotos bloqueados usando o proxy SOCKS

Segundos desde a última reinicialização

2843349

Utilização da CPU (%)

9.9

Utilização de RAM (%)

55.6

Utilização do Disco Rígido (%)

57.5

Utilização da Largura de Banda (/s)

15307

Abrir conexões TCP

2721

Transações por segundo

264

Latência do cliente

163

Taxa de Acertos do Cache

21

Utilização da CPU do Proxy

17

Utilização de CPU WUC WBRS

2.5

Registrando a Utilização da CPU

3.4

Relatando Utilização da CPU

3,9

Utilização de CPU do Webroot

0

Utilização de CPU Sophos

0

Utilização de CPU da McAfee

0

saída do utilitário vmstat (vmstat -z, vmstat -m)

Número de políticas de acesso configuradas

32

Número de categorias da Web personalizadas configuradas

32

Provedor de Autenticação

Básico, NTLMSSP

Territórios de autenticação

Nome de host do provedor de autenticação, protocolo e outros elementos de configuração

Estatísticas compartilhadas por solicitação da Web

Item

Dados de exemplo

Participação Padrão

Participação limitada

Versão

coeus 7.7.0-608

Serial Number

Fator de amostragem SBNP (volume)

Fator de amostragem SBNP (Rate)

1

Porta e IP de destino

segmentos de caminho de URL sem ofuscação

segmentos de caminho de URL com hash

Categoria de malware escolhido pelo Anti-Spyware

Ignorado

Pontuação WBRS

4.7

Veredito de categoria de malware da McAfee

URL de referência

segmentos de caminho de URL sem ofuscação

segmentos de caminho de URL com hash

ID do Tipo de Conteúdo

Marca de decisão da ACL

0

Categorização da Web legada

Categoria da Web do CIWUC e origem da decisão

{'src': 'req', 'cat': '1026'}

Nome do aplicativo AVC

Anúncios e rastreamento

Tipo de aplicativo AVC

Redes de anúncios

Comportamento do AVC App

Não seguro

Rastreamento de resultados internos AVC

[0,1,1,1 ]

Rastreamento de agente de usuário via estrutura de dados indexada

3

Estatísticas avançadas de malware por solicitação da Web

Estatísticas da AMP

Veredito - da consulta de reputação da AMP

mal-intencionado/limpo/desconhecido

Spyname- Nome do malware detectado

[Trojan-Test]

Pontuação - pontuação de reputação atribuída pela AMP

[1-100 ]

Carregar - a nuvem da AMP é indicada para carregar o arquivo

1

Nome do arquivo - Nome do anexo do arquivo

abcd.pdf

Feed de estatísticas de feedback do usuário final

Estatísticas compartilhadas por usuário final erro de categorização Feedback

Item

Dados de exemplo

ID do mecanismo (numérico)

0

Código de Categorização da Web Herdado

Fonte de Categorização da Web do CIWUC

"resp" / "req"

Categoria da Web do CIWUC

1026

Conteúdo de detecção do Talos

Foco em ameaças

Informações Relacionadas

- Cisco Web Security Appliance - Página do produto

- Cisco Email Security Appliance - Página do produto

- Suporte Técnico e Documentação - Cisco Systems