Download to read offline
Uploaded byCisco Russia
Увидеть все
Документ содержит информацию о киберугрозах и методах защиты, с акцентом на современные вредоносные программы и стратегии атак. Рассматриваются различные типы угроз, их мотивации, а также средства обнаружения и анализа киберугроз, включая технологии и инструменты от Cisco. Важность обмена информацией о угрозах и использование угрозной разведки для защиты от атак также подчеркивается.
Увидеть все
- 2.
- 3. Увидеть все Руслан Иванов Инженер-консультантпо информационной безопасности © 2017 Cisco and/or its affiliates. All rights reserved.
- 4. Высокая мотивация киберкриминала Изменение бизнес-моделей Динамичность ландшафта угроз Думатькак хакер © 2015 Cisco and/or its affiliates. All rights reserved. 4
- 5. Точечные и статичные решения © 2015Cisco and/or its affiliates. All rights reserved. 5 Фрагментация Сложность Требуют лишнего управления
- 6. Чего больше всегоопасаются сотрудники, отвечающие за безопасность в компаниях?
- 7. Типы угроз • ВредоносноеПО • Фишинг • Атаки на инфраструктуру • Атаки нулевого дня • Сложные целенаправленные угрозы • Атаки методом грубой силы • Уязвимости аппаратного и программного обеспечения • Использование сотрудниками личных устройств в рабочих целях • «Теневое IT» – несанкционированное использование облачных сервисов • Нарушение политик безопасности сотрудниками • Недостаток осведомлённости и некомпетентность сотрудников • Недостаток знаний и навыков у ответственных за ИБ и ИТ
- 8. Типы нарушителей иатакующих • Нет мотивации на нанесение ущерба конкретной организации • Работают «по площадям» • Используют стандартные инструменты и технологии, широко известные уязвимости или наборы уязвимостей Внешние атакующие/нарушители • Мотивированы на «работу» по конкретной организации • Используют как стандартные инструменты и технологии, так и могут использовать кастомизированные инструменты, неизвестные широкому кругу уязвимости или эксплуатировать новые уязвимости
- 9. Типы нарушителей иатакующих • Нет мотивации на нанесение ущерба • Урон наносится из-за недостаточной осведомлённости или пренебрежения выполнением должностных инструкций и политик ИТ/ИБ • Как правило, не обладают привилегированным доступом или такой доступ ограничен Внутренние нарушители или атакующие • Есть мотивация на нанесение максимального ущерба (обида) или на кражу информации («крот») • Нанесение целенаправленного вреда • Хорошая осведомлённость о внутренних практиках и процедурах • Обычно используют стандартные общедоступные инструменты и технологии • Могут обладать привилегированным доступом к множеству систем
- 11. • Сложные программныепродукты, созданные квалифицированными программистами и системными архитекторами (НЕ ОДИН .EXE файл, НЕ ОДИН вектор атаки); • Высокий уровень доработки продуктов для очередной кампании; • Дропперы и даунлоудеры и иже с ними: внедрение одного модуля на 99% приведёт к внедрению следующих уникальных модулей; • Известно, что вредоносное ПО будут искать; • Известно про запуск в песочницах; • Развитая индустрия создания специфического ПО с неплохими бюджетами и высоким уровнем заинтересованности; • Все лучшие методологии разработки и отладки. Что мы знаем о современном вредоносном ПО?
- 12. Прямые атаки формируютбольшие доходы Более эффективны и более прибыльны
- 13.
- 14. Из чего состоитпоследовательность атаки? Разведка Сбор e-mail Социальные сети Пассивный поиск Определение IP Сканирование портов Вооружение Создание вредоносного кода Система доставки Приманка Доставка Фишинг Заражение сайта Операторы связи Проникновение Активация Исполнение кода Определение плацдарма Проникновение на другие ресурсы Инсталляция Троян или backdoor Повышение привилегий Руткит Обеспечение незаметности Управление Канал управления Расширение плацдарма Внутреннее сканирование Поддержка незаметности Реализация Расширение заражения Утечка данных Перехват управления Вывод из строя Уничтожение следов Поддержка незаметности Зачистка логов
- 15. Разведка Доставка ЦЕЛЬ Управление Действия ВЗЛОМ ЗапускЭксплойт Инсталляция ЗАРАЖЕНИЕ Всесторонняя инфраструктура защиты NGIPS NGFW Анализ аномалий Network Anti- Malware NGIPS NGFW Host Anti- Malware DNSЗащита DNS Защита Web Защита Email NGIPS DNSЗащита DNS Защита Web NGIPS Threat Intelligence TALOS
- 16. Последовательность атаки: Как мыможем обнаружить сбор информации и разведку, а также попытки доставки ВПО? 17
- 17. • В 1955-мгоду два американских психолога Джозеф Лифт и Харингтон Инхам разработали технику, которая позволяет людям лучше понять взаимосвязь между своими личными качествами и тем, как их воспринимают окружающие • В соответствии с методикой, названной «Окном Джохари», у каждого человека имеются четыре зоны • Открытая • Слепая • Спрятанная • Неизвестная Окно Джохари
- 18. 4 зоны окнаДжохари В скрытой зоне находятся качества, известные человеку, но неизвестные окружающим В слепой зоне находятся качества человека, которые известны окружающим, но неизвестные самому человеку В неизвестной зоне находятся качества, неизвестные ни самому человеку, ни окружающим ? В открытой зоне находятся качества, известные самому человеку и которые признают за ним окружающие
- 19. Открытая Слепая Скрытая Неизвестная ОкноДжохари применительно к ИБ Известно аналитику ИБ Не известно аналитику ИБ Известно другим Не известно другим Другие – это пользователи, исследователи, хакеры, спецслужбы…
- 20. Обнаружение угроз воткрытой зоне Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 21
- 21. • Плохие файлы •Плохие IP, URL • Спам/Фишинговые Email • Сигнатуры • Уязвимости • Индикаторы компрометации Открытая зона Известно аналитику Известно другим
- 22. • NGFW, IPS,Web/Email Security, WAF, песочницы…Решения для обнаружения угроз • API, pxGrid и т.п.Интерфейсы для обмена информацией об угрозах • Сканеры уязвимостей, SAST/DAST, Vulners, БДУ и др. Системы анализа защищенности • OpenIOC, STIX , TAXII, и т.д.Индикаторы компрометации Как обнаруживать известное?
- 23. Сетевая траектория –Отслеживание Firepower NGIPS с FireAMP Отслеживание отправителей / получателей в континиуме атаки Файловая диспозиция изменилась на MALWARE История распространения файла Детали хоста
- 24. • Получение информациис ошибками; • Отсутствие или исчезновение информации на конкретные угрозы; • Отсутствие учета вертикальной или региональной специфики; • Смена политики лицензирования: • Смена собственника • Поглощение компании-разработчика • Сотрудничество со спецслужбами • Санкции… Риски получения данных об угрозах из одного источника
- 25. Почему так важнаThreat Intelligence сегодня?! • Threat Intelligence – знание (включая процесс его получения) об угрозах и нарушителях, обеспечивающее понимание методов, используемых злоумышленниками для нанесения ущерба, и способов противодействия им • Оперирует не только и не столько статичной информацией об отдельных уязвимостях и угрозах, сколько динамической и имеющей практическое значение информацией об источниках угроз, признаках компрометации (объединяющих разрозненные сведения в единое целое), вредоносных доменах и IP- адресах, взаимосвязях и т.п.
- 26. Адреса IPv4 Домены/ FQDN Хэши (MD5, SHA1) URL Транзакционные (MTA, User- Agent) Имя файла / путь Mutex Значение реестра Имена пользователей Адреса e-mail Распространенные IoC
- 27. Разведка Оснащение ДоставкаЗаражение Инсталляция Получение управления Выполнение действий Файл – имя Файл URI – URL HTTP - GET HTTP – User Agent URI – имя домена Адрес – e-mail Адрес – IPv4 Файл – путь Файл URI – URL Поведение Файл – имя Файл – путь Файл URI – URL HTTP – POST Заголовок e-mail – Тема Заголовок e-mail – X-Mailer URI – имя домена Хеш – MD5 Хеш – SHA1 Адрес – e-mail Адрес – IPv4 Поведение Ключ реестра Win Файл – имя Файл URI – URL URI – имя домена Хеш – MD5 Хеш – SHA1 Адрес – CIDR Адрес – IPv4 Код – Бинарный код Процессы Win Ключ реестра Win Файл – имя Файл – путь Файл URI – URL HTTP – GET HTTP – User Agent URI – имя домена Хеш – MD5 Хеш – SHA1 Адрес – e-mail Адрес – IPv4 Поведение Процессы Win Ключ реестра Win Файл URI – URL HTTP – GET HTTP – POST HTTP – User Agent URI – имя домена Хеш – MD5 Адрес – e-mail Адрес – IPv4 Поведение Процессы Win Сервисы Win Файл – Путь Файл – Имя Файл URI – URL URI – имя домена Хеш – MD5 Хеш – SHA1 Адрес – IPv4 IoC в привязке к последовательности атаки
- 28. • Подписки (feeds)– способ представления данных об угрозах; • Поддержка различных языков программирования и форматов данных: • JSON • XML • CyBOX • STiX • CSV • И другие Подписки Threat Intelligence
- 29. Этапы зрелости использованияподписок TI Эпизодическое применение подписок Регулярное использование отдельных ресурсов с подписок Использование платформы TI Использование API для автоматизации Обмен подписками
- 30. Где брать подписки? http://atlas.arbor.net/ ИнициативаArbor ATLAS (Active Threat Level Analysis System): • Глобальная сеть анализа угроз (обманные системы); • Информация берется от обманных систем (honeypot), IDS, сканеров, данных C&C, данных о фишинге и т.д.; • Публичная информация о Топ10 угрозах; • Для доступа к некоторым данным требуется регистрация. http://www.spamhaus.org Проект для борьбы со спамом SPAMHAUS: • Поддерживает различные базы данных (DNSBL) с данными; по угрозам (IP-адреса) – спамеры, фишеры, прокси, перехваченные узлы, домены из спама; • Реестр ROKSO с самыми известными спамерами в мире; • Проверка и исключение своих узлов из «черных списков».
- 31. Где брать подписки? https://www.spamhaustech.com SpamTEQ– коммерческий сервис Spamhaus: • Подписки по репутациям IP- и DNS-адресов; • Ценовая политика зависит от типа организации и типа запрашиваемых данных; • Годовой абонемент. https://www.virustotal.com Проект по борьбе с вредоносным кодом: • Проверка файлов и URL на вредоносность; • Бесплатный сервис; • Система поиска.
- 32. Где брать подписки? https://www.threatgrid.com Фидыпо сетевым коммуникациям • IRC, DNS, IP • Россия и Китай • Сетевые аномалии • RAT и банковские троянцы • И др. https://www.alienvault.com/open-threat-exchange Открытое community по обмену информацией об угрозах • IP- и DNS-адреса • Имена узлов • E-mail • URL и URI • Хеши и пути файлов • CVE-записи и правила CIDR Форматы: • JSON • CyBOX • STiX • CSV • Snort • Raw
- 33. Где брать подписки? https://www.cisco.com/security IntelliShieldSecurity Information Service • Уязвимости • Бюллетени Microsoft • Сигнатуры атак Cisco • Web- и обычные угрозы • Уязвимые продукты (вендор-независимый) http://www.malwaredomains.com Проект DNS-BH (Black Holing) • Обновляемый «черный» список доменов, участвующих в распространении вредоносного кода • Список доступен в формате AdBlock и ISA
- 34. Обнаружение угроз вслепой зоне Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 35
- 35. • Нехватка журналов •Разрыв в процессах • Отсутствие интеграции • Проблемы масштабирования • Нет корреляции • Ложные срабатывания Слепая зона Неизвестно аналитику Известно другим
- 36. Нехватка данных дляанализа • Syslog, CDR…Логи • Сигнатуры, аномалии, превышение тайм-аутов…Сигналы тревоги • E-mail, файлы, Web-страницы, видео/аудио…Контент • Netflow, sFlow, jFlow, IPFIX…Потоки • Имена пользователей, сертификаты… Идентификационные данные
- 37. Малый и среднийбизнес, филиалы Кампус Центр обработки данных Интернет ASA ISR IPS ASA Почта Веб ISE Active Directory Беспроводная сеть Коммутатор Маршрутизатор Контент Политика Интегрированные сервисы ISR-G2 CSM ASA ASAv ASAvASAv ASAv Гипервизор ВиртуальныйЦОД ФизическийЦОД Удаленные устройства Доступ Облачный шлюз безопасности Облачный шлюз безопасности Матрица ASA, (сеть SDN) АСУ ТП CTD IDS RA МСЭ Беспроводная сеть Коммутатор Маршрутизатор СегментацияМониторинг Откуда брать данные?
- 38. Объединяя типы данныхи места их сбора Место съема данных Источник данных Сигналы тревоги Контент Потоки Журналы Идентифи кация Интернет- периметр Сервер DHCP ✔ Сервер DNS ✔ DLP ✔ ✔ ✔ WAF ✔ ✔ NAC ✔ ✔ Маршрутизатор ✔ ✔ …
- 39. Объединяя типы данныхи индикаторы Категория индикатора Индикатор Сигналы тревоги Контент Потоки Логи Идентиф икация Системная активность Неудачные попытки входа ✔ ✔ Доступ к нетипичным ресурсам ✔ ✔ Утечка данных ✔ ✔ ✔ ✔ ✔ Изменение привилегий ✔ ✔ ✔ ✔ Нетипичные команды ✔ ✔ ✔ Нетипичные поисковые запросы ✔ ✔ ✔ ✔ …
- 40. • Elastic Search •Log Stash • Kibana • Yandex ClickHouse • Splunk • Security Onion • Flowplotter • Wireshark - tshark • Network Miner • Snort • Suricata • BRO • Flowbat • Tcpdump • Cisco/joy • Cisco StealthWatch • Cisco Investigate • Apache Metron (ex. OpenSOC) Средства сбора и анализа сетевой телеметрии
- 41. Единый источник коррелированнойинформации о DNS Cisco Investigate INVESTIGATE WHOIS база записей ASN атрибуция IP геолокация IP индексы репутации Доменные индексы репутации Домены связанных запросов Обнаружение аномалий (DGA, FFN) DNS запросы по шаблону и геораспределение База пассивной инф. DNS Вендоры -конкуренты Not available Not available Not available
- 42. Где Cisco Investigateполезен? ВРЕДОНОС Exploit Kit или Свой код Известная или Zero-Day уязвимость Жестко забитые или DGA отзвоны Порты и протоколы связи АТАКУЮЩИЙ Инструменты, Тактика и процедуры Стратегия и целеполагание Мотивация и связи Языки и Регионы Инфраструктура Сети развертывания (и ASNы) Сервера инфр-ры ( и DNS ) Выделенное IP поле Регистрация (и Flux) Домены НАБЛЮДАЕМЫЕ ЭЛЕМЕНТЫ Последовательность атаки Разведка Доставка ЦЕЛЬ Управление Действия ВЗЛОМ Запуск Эксплойт Инсталляция ЗАРАЖЕНИЕ ДАЛЬНЕЙШЕЕ РАСПРОСТРАНЕНИЕ
- 43. Для слепой зонынеобходима корреляция Корреляция Пользователи Приложения Сеть Физический мир
- 44. Threat Intelligent Platforms • Агрегация телеметриииз множества источников и обогащение данных Аналитика ИБ • OpenSOC (Metron), Splunk, SIEM, ELK, ClickHouse, StealthWatch Облачные решения • Cognitive Threat Analytics, • Cisco Investigate • Sec-aaS Что помогает обнаруживать угрозы в слепой зоне?
- 45. Обнаружение угроз вскрытой зоне Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 46
- 46. • Контекст • Корреляциясобытий • Исторический контекст • Базовый профиль (эталон) • Анализ данных Скрытая зона Известно аналитику Не известно другим
- 47. • У васмогут быть свои подозрительные файлы; • Вы можете не хотеть «делиться» вашими анализами с другими; • Вас может не устраивать оперативность фидов; • Ваш источник фидов может плохо охватывать Россию; • У вас собственная служба расследования инцидентов и аналитики вредоносного кода; • Вы сами пишете вредоносный код А разве подписок недостаточно? Данные об угрозах в RSA Security Analytics Данные об угрозах в EnCase Endpoint Security
- 48. Возможность анализа собственныхугроз https://www.threatgrid.com Загрузка собственных угроз • С помощью API в облако • С помощью API на локальное устройство on-premise • Вручную через портал https://malwr.com Сервис анализа вредоносного кода • Базируется на VirusTotal и Cuckoo Sandbox • Бесплатный
- 49. • Активы/Сеть • Сетеваятопология • Профиль актива • Адрес/местоположение • Аппаратная платформа • Операционная система • Открытые порты/Сервисы/Протоколы • Клиентское и серверное ПО и его версия • Статус защищенности • Уязвимости • Пользователь • Местоположение • Профиль доступа • Поведение Что мы знаем и не знают другие? Файл/Данные/Процесс Движение Исполнение Метаданные Источник «Родитель» Репутация Безопасность Точечные события Телеметрия Ретроспектива
- 50. МСЭ / NGFW/ NAC IDS / IPS NBAD AV / BDS SIEM / LM X X X X Откуда эти данные взять? X Фильтрация контента И еще ОС, СУБД, сетевые и прикладные службы и сервисы…
- 51. Источники данных дляанализа Внутренние • Телеметрия (Netflow, DNS, PCAP, syslog, телефония, GSM и т.п.) • Критичные ресурсы • СКУД (местоположение, GSM, CCTV, бейджи и т.п.) • Данные о персонале (HR, проверки СЭБ и т.п.) Внешние • Данные от правоохранительных органов • Банковские выписки • Выписки ДМС, медосмотры
- 52. • Неудачные попыткивхода в системы • Доступ к нетипичным ресурсам • Профиль сетевого трафика • Утечки данных (по объему, типу сервиса и контенту) • Нетипичные методы доступа • Изменение привилегий • Нетипичные команды • Нетипичные поисковые запросы Выбрать индикаторы
- 53. • Модификация логов •Нетипичное время доступа • Нетипичное местонахождение • Вредоносный код • Модификация или уничтожение объектов ИТ-инфраструктуры • Поведение конкурентов и СМИ • Необычные командировки и персональные поездки Примеры индикаторов
- 54. • Негативные сообщенияв социальных сетях • Наркотическая или алкогольная зависимость • Потеря близких • Проигрыш в казино • Ухудшение оценок (review) • Изменение финансовых привычек (покупка дорогих вещей) • Нестандартные ИТ-инструменты (сканеры, снифферы и т.п.) Примеры индикаторов
- 55. От данных канализу информации Данные Информация Знания
- 56. От данных канализу информации Данные Информация Знания Время, Внутренний адрес, Внешний адрес, Пользователь, Репутация, Приложение
- 57. От данных канализу информации Данные Информация Знания Время, Внутренний адрес, Внешний адрес, Пользователь, Репутация, Приложение Пользователь ‘Гость’ вероятно был инфицирован в 2:03, посещая 64.25.1.2, затем контактировал с сервером C&C в 8:32
- 58. От данных канализу информации Данные Информация Знания Время, Внутренний адрес, Внешний адрес, Пользователь, Репутация, Приложение Пользователь ‘Гость’ вероятно был инфицирован в 2:03, посещая 64.25.1.2, затем контактировал с сервером C&C в 8:32 Пользователь ‘Гость’, использовавший планшет на базе Windows 8.1 был инфицирован в 2:03, посещая 64.25.1.2 (nyt.com), из гостевой беспроводной сети, контактировал с сервером C&C (инфраструктура Shamoon) в 8:32
- 59. Сетевые ресурсыПолитика доступа ТрадиционнаяTrustSec Доступ BYOD Быстрая изоляция угроз Гостевой доступ Ролевой доступ Идентификация, профилирование и оценка состояния Кто Соответствие нормативам Что Когда Где Как Дверь в сеть Контекст Обмен данными Контекст очень помогает в скрытой зоне
- 60. Netflow NGIPS Lancope StealthWatch AMP CTA FireSIGHT Console CWS WSA ESA FirePOWERServices ISE это краеугольный камень сквозной сетевой безопасности Cisco ISE Как ЧтоКтоГдеКогда Во время ПослеДо
- 61. Безопасность начинается спонимания окружения
- 62. Профилирование с помощьюCisco ISE Feed Service (Online/Offline) Netflow DHCP DNS HTTP RADIUS NMAP SNMP CDP LLDP DHCP HTTP H323 SIP MDNS ACTIVE PROBES DEVICE SENSOR 1.5 million 550+ 250+ 1,5М устройств и 50 аттрибутов на каждого Предустановленных профилей + фиды Профилей для специализированных устройств Cisco ISE Cisco Network
- 63. Гибкие методы классификации Динамические Статичные VPN V.Port Profile IP Address VLANsSubnets L3 Interface Port ACI (App- Centric) Идеально для пользовательских и мобильных устройств Пользовательские устройства Политики на основе топологии и ресурсов Внутренние ресурсы Партнёры и иные третьи лица Внешние ресурсы StaticDynamic SGT #1 SGT #2 SGT #3 SGT #4 Виртуальные машины Passive ID (Easy Connect) MAB, Profiling 802.1X. WebAuth pxGrid & REST APIs
- 64. Модуль ‘Visibility’ дляAnyconnect – обнаружение приложений Cisco Anyconnect с модулем‘Network Visibility’ IPFIX/NetFlow Collector КСПД Public Прозрачность процесс, хэши, URL, и т.д. Контекст для поведенческого анализа Контроль допуск на основе политик безопасности
- 65. Что помогает обнаруживатьугрозы в скрытой зоне? Визуализация • Траектория файлов • Вектора атак • Имитация пути злоумышленника Аналитика ИБ • Пользовательские запросы в OpenSOC (Metron), Splunk, другие SIEM, Yandex ClickHouse, ELK Контекст • Identity Firewall • NGFW • NAC • ISE • Информация об уязвимостях
- 66.
- 67. • Threatcrowd.org позволяет организоватьпоиск взаимосвязей между IOCs: • IP-адреса • Доменные имена • Хеши файлов • Имена файлов • Аналогичную задачу можно реализовать с помощью OpenDNS, Maltego, а также OpenGraphitti Визуализация скрытых связей
- 68.
- 69. Обнаружение угроз внеизвестной зоне Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 70
- 70. • Выпадающие события/ «Черный лебедь» • Аномальное поведение • 0-Days • Нет сигнатур/решающих правил Неизвестная зона Не известно аналитику Не известно другим
- 71. Выпадающие события типа«чёрный лебедь» «В России такого никогда не было и вот опять повторилось» В. С. Черномырдин
- 72. Обнаружение угроз внеизвестной зоне Неизвестное неизвестное Анализ поведения Машинное обучение Статистический анализ
- 75. Обнаружение аномалий иклассификация событий Обнаружение аномалий • Скажи мне если произойдет что- то необычное Классификация • Скажи мне когда ты увидишь нечто, похожее на это
- 76. Анализ сетевой телеметрииNetflow (jFlow, sFlow, IPFIX) – путь к самообучаемым сетям Использование шаблонов сетевых потоков для поиска угроз Мощный источник информации для каждого сетевого соединения Каждое сетевое соединения в течение длительного интервала времени IP-адрес источника и назначения, IP-порты, время, дата передачи и другое Сохранено для будущего анализа Важный инструмент для идентификации взломов Идентификация аномальной активности Реконструкция последовательности событий Соответствие требованиям и сбор доказательств NetFlow для полных деталей, NetFlow-Lite для 1/n семплов
- 77. Кто КудаЧто Когда Как Откуда Больше контекста Высокомасштабиуремыйсбор Высокое сжатие => долговременное хранилище NetFlow с точки зрения контекста
- 78. С помощью NetFlowможно обнаруживать не столько известные угрозы, сколько аномалии Стадия атаки Обнаружение Использование уязвимостей Злоумышленник сканирует IP-адреса и порты для поиска уязвимостей (ОС, пользователи, приложения) 1 NetFlow может обнаружить сканирование диапазонов IP NetFlow может обнаружить сканирование портов на каждом IP-адресе Установка вредоносного ПО на первый узел Хакер устанавливает ПО для получения доступа 2 NetFlow может обнаружить входящий управляющий трафик с неожиданного месторасположения Соединение с “Command and Control” Вредоносное ПО создает соединение с C&C серверами для получения инструкций 3 NetFlow может обнаружить исходящий трафик к известным адресам серверов C&C Распространение вредоносного ПО на другие узлы Атака других систем в сети через использование уязвимостей 4 NetFlow может обнаружить сканирование диапазонов IP NetFlow может обнаружить сканирование портов на каждом IP-адресе внутреннего узла Утечка данных Отправка данных на внешние сервера 5 NetFlow может обнаружить расширенные потоки (HTTP, FTP, GETMAIL, MAPIGET и другие) и передачу данных на внешние узлы
- 79. Сетевое обнаружение аномалий(NBAD) Cisco StealthWatch Concern Index отслеживает хосты, компрометирующие сеть • File Sharing Index показывает активность пиринговых сессий • Target Index показывает хосты являющиеся жертвами вредоносной активности • Отчёты по группам хостов выдают сетевые шаблоны и шаблоны приложений Отчет по приложениям Inbound/Outbound Отчет по трафику
- 80. StealthWatch – внутренниенарушители и угрозы • Неавторизованный доступ: попытка нарушения политик, блокирована на МСЭ • Внутренняя разведка: Concern Index событие , сканирование на порту tcp/445 • Накопление данных: передача больших объемов данных через сеть – Подозрение на накопление данных – хост загружает данные со многих других хостов – Таргетированный вывод данных– Хост выкачивает большой объем данных через множество других хостов • Утечка данных: идентификация подозрительной передачи данных через Интернет-периметр в течение длительного времени
- 81. Обработка Индикаторов компрометации(IoCs) Идентификация подозреваемых в заражении Malware хостов в группах клиентских машин • Визуализация распространения заражения Malware с помощью Worm Tracker – Основные и вторичные заражения – Сканируемые подсети • Применение контекстно-насыщенной телеметрии от ISE для понимания вовлеченных пользователей • Узнать все ли хосты затронуло изначальным заражение
- 82. Моделирование и контрольBusiness Critical процессов в Cisco StealthWatch PCI Zone Map Общий профиль системы Межсистемное взаимодействие
- 83. Машинное обучение (искусственныйинтеллект) Известные варианты угроз Автоматическая классификация Неизвестные угрозы Полностью автоматическое обучение Автоматическая интерпретация результатов Глобальная корреляция по всем источникам IoC по одному или нескольким источникам Один источник (DNS, e-mail, web, файл и т.п.) 1-е поколение 2-е поколение 3-е поколение • Машинное обучение – не панацея • Интернет движется к тотальному шифрованию • Злоумышленники остаются незамеченными – стеганография • За искусственным интеллектом в ИБ – будущее
- 84. Как работает самообучающаясясеть? Обнаружение путей прохождения трафика Создание карты IP- адресов Изучение изменений в путях, объёмах, шаблонов, зависимости от времени суток Обнаружение приложений с помощью NBAR и DPI Учимся отличать плохое от хорошего Точное обнаружение аномалии; оператору отправляем запрос на реагирование 3 2 6 4 1 5
- 85. Опыт Cisco: необходимокомбинировать методы обнаружения Intel Signature Flows Intel Signature Behavior Flows Intel Signature В прошлом 2012 2013+ Необходимо использовать различные способы изучения угроз Сетевые потоки | Поведение | Сигнатуры | Исследования
- 86. Открытая • NGFW /NGIPS • Защита от вредоносного ПО • Спам-фильтры • Безопасность Web Слепая • Платформы Threat Intelligence • Аналитика Big data • Корреляция • Облачные решения Скрытая • Визуализация • Пользовательские запросы • Контекст Неизвестная • Машинное обучение • Статистический анализ • Анализ сетевого поведения Подводим итоги Известно аналитику Не известно аналитику Известно другим Не известно другим
- 87. Открытая • NGFW /NGIPS • Защита от вредоносного ПО • Спам-фильтры • Безопасность Web Слепая • Платформы Threat Intelligence • Аналитика Big data • Корреляция • Облачные решения Скрытая • Визуализация • Пользовательские запросы • Контекст Неизвестная • Машинное обучение • Статистический анализ • Анализ сетевого поведения Подводим итоги Известно аналитику ИБ Не известно аналитику ИБ Известно другим Не известно другим
- 88. Тот, кто знает,когда он может сражаться, а когда не может, будет победителем. Cisco Connect 2017 © 2017 Cisco and/or its affiliates. All rights reserved. 89 Сунь Цзы, «Искусство войны»
- 89. 000011111 110 Интегрированная защита отугроз – это единственный путь обнаружить и остановить продвинутые угрозы 000011111 110 TalosTalos Мобильное ВиртуальноеEndpoint СетьОблако Email и Web Точечное Постоянное Advanced Threats Sandboxing Web Global IntelligenceTal os Shadow IT & Data NGIPS & NGFW Identity & Access Control Email DNS, IP & BGP Anomaly DetectionAnomaly Detection Sandboxing Advanced Threats DNS, IP & BGP Shadow IT & Data Global IntelligenceTal os NGIPS & NGFW Identity & Access Control Email Web Среднее время обнаружения с Cisco: 17 часов Среднее время обнаружения без Cisco: 200 дней
- 90. #CiscoConnectRu#CiscoConnectRu Спасибо за внимание! Оценитеданную сессию в мобильном приложении конференции © 2017 Cisco and/or its affiliates. All rights reserved. Контакты: Тел.: +7 495 9611410 www.cisco.com www.facebook.com/CiscoRu www.vk.com/cisco www.instagram.com/ciscoru www.youtube.com/user/CiscoRussiaMedia
- 91. Пишитенаsecurity-request@cisco.com Бытьвкурсевсехпоследнихновостейвампомогут: Где вы можетеузнать больше? http://www.facebook.com/CiscoRu http://twitter.com/CiscoRussia http://www.youtube.com/CiscoRussiaMedia http://www.flickr.com/photos/CiscoRussia http://vkontakte.ru/Cisco http://blogs.cisco.ru/ http://habrahabr.ru/company/cisco http://linkedin.com/groups/Cisco-Russia-3798428 http://slideshare.net/CiscoRu https://plus.google.com/106603907471961036146/posts http://www.cisco.ru/