3. Больше безопасности
в одном устройстве
Межсетевой экран & VPN
Система предотвращения вторжений
Контроль приложений
Интеграция с AD
Фильтрация по URL
Антивирус
Антибот
Сетевой DLP
4. Модели
4000
Малые офисы
3До Гб/c ,МЭ от $600
Корпоративные шлюзы
До 6 Гб/c IPS
Центры обработки данных
До 110 Гб/C МЭ
Высокая доступность и легкое
обслуживание
15000
23000
41000
61000
1100
Платформа для телеком
Мастшабируемость
Балансировка нагрузки
2200
19. Проверка на место
возврата
A
B C D E F21
3
45
6 Проверка возврата
управления в код
на место вызова
в командах
процессора
для поиска
подозрительного
кода
20. Песочница с защитой от угроз на уровне процессора
•Обнаруживает атаки до заражения
•Увеличивает шансы поймать вирус
•Не зависит от ОС
•Устойчива к техникам обхода песочниц
24. [Restricted] ONLY for designated
groups and individuals
Представляем
AG ENT
SandBlast
CHECK POINT
25. Предотвращение угроз на ПК
Незащищенные векторы атаки
Работа вне
офиса
M2M внутри
периметра
Внешние
носители
26. SANDBLAST Агент
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
[Restricted] ONLY for designated groups and
Threat Extraction & песочница для
ПК
•Доставляет безопасные файлы
•Проверяет исходные файлы
•Защищает скачивания из интернета и
копирования с внешних носителей
30. SANDBLAST Агент
-Анти бот
для рабочих станций и карантин
•Обнаруживает и блокирует общение с
командным центром
•Указывает на зараженный файл
•Изолирует зараженную рабочую станцию
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
31. Блокируем зараженнуюБлокируем зараженную
станциюстанцию
Предотвращаем потериПредотвращаем потери
• Блокируем управляющий каналБлокируем управляющий канал
• Предотвращаем утечку данныхПредотвращаем утечку данных
Sandblast Агент: Анти-бот
Для рабочих станций
ОпределемОпределем
зараженные станциизараженные станции
• Внутри и вне периметраВнутри и вне периметра
• Изолируем работуИзолируем работу
внутри периметравнутри периметра
Определяет управляющий каналОпределяет управляющий канал – знаем зараженную станцию– знаем зараженную станцию
Блокирует управляющий каналБлокирует управляющий канал –– изолируем вирусизолируем вирус
Управление остановлено
Управляющий канал
Анти-бот
32. SANDBLAST Агент
[Restricted] ONLY for designated groups and
Автоматическое расследование и
ликвидация последствий
•Расследование – экономия времени и денег
•Учет сетевой активности
•Взаимодействие с антивирусом
•Восстановление и ликвидация последствий
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
33. [Restricted] ONLY for designated
groups and individuals
Ответ на инцидент
предполагает понимание угрозы
Вопросы при расследовании:
1.Атака реальна?
2.Какие способы проникновения?
3.Какие данные были похищены?
4.Как ликвидировать последствия?
34. Анализ сетевой активности
SandBlast Agent Forensics
Обнаружение
бота
Обнаружение
бота
Блокировка управляющего
канала
Блокировка управляющего
канала
Зараженная
станция
Зараженная
станция
Командный центрКомандный центр
Изучение атакиИзучение атаки
35. Перехват
коммуникации
Процесс
связывается с
командным центром
Перехват
коммуникации
Процесс
связывается с
командным центром
Происхождение
атаки
Уязвимость в Chrome
Происхождение
атаки
Уязвимость в Chrome
От инцидента к
расследованию
Автоматический анализ
от начала атаки
От инцидента к
расследованию
Автоматический анализ
от начала атаки
Код для проникновения
Файл запущен в Chrome
Код для проникновения
Файл запущен в Chrome
Атака
отслеживается
при перезагузках
Атака
отслеживается
при перезагузках
Похищенные данные
Вирус обращался к документу
Запуск вируса
Вирус запустится
после загрузки
Запуск вируса
Вирус запустится
после загрузки
Скачивание
вируса
Вирус скачан и
установлен
Скачивание
вируса
Вирус скачан и
установлен
Активация вируса
Запланирована задача
после загрузки
Активация вируса
Запланирована задача
после загрузки
36. Что обычно делают после взлома?
Традиционное
расследование
Традиционное
расследование
Надежда на
карантин
антивируса
Надежда на
карантин
антивируса
Восстановление
из образа
Восстановление
из образа
• Работает только для известных угроз
• Антивирус пропустит всё, что было до
обнаружения вируса
• Данные могут быть похищены до обнаружения
• Работает только для известных угроз
• Антивирус пропустит всё, что было до
обнаружения вируса
• Данные могут быть похищены до обнаружения
• Не возвращает похищенные данные
• Затратная и разрушительная процедура
• На защитит от повторной атаки
• Не возвращает похищенные данные
• Затратная и разрушительная процедура
• На защитит от повторной атаки
• Расследование требует времени
• Расследование требует редкой квалификации
• Слишком дорого для каждого инцидента
• Расследование требует времени
• Расследование требует редкой квалификации
• Слишком дорого для каждого инцидента
Обычный подход после инцидента:
40. От понимания к действиям
Генерация
скрипта для
восстановлени
я
Вопрос 4: Как ликвидировать
последствия? Как восстановиться?
41. Взгляд на этапы атаки
Интерактивный отчет
•Вся атаки на одном экране
•Отслеживание всех элементов
•Обзор всех перезагрузок
•Детали по каждому элементу
Интерактивный отчет
•Вся атаки на одном экране
•Отслеживание всех элементов
•Обзор всех перезагрузок
•Детали по каждому элементу
43. Единственное решение с автоматическим
анализом инцидентов и скриптом для
восстановления
SANDBLASTSANDBLAST АгентАгент
Другие продукты собирают
данные для анализа
SandBlast Агент анализируетанализирует
44. Демонстрация и пилотирование
Отчет Security Checkup – проверка трафика в сети заказчика, бесплатно и конфиденциально.
•Выявляение опасных приложений,
•доступ к опасным сайтам,
•коммуникации бот-сетей,
•вирусные атаки,
•утечка данных,
•IPS атаки,
•объяснение
выявленных угроз,
•рекомендации
по устранению
Обратить к партнеру
для заказа услуги
This approach is important and needed as many of the attacks are still using known methods and malware
Current solution to fight zero day and unknown malware is sandboxing
Sandbox is a powerful solution
it is looking for malicious activities when the running malware
Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability
Exploit- Bypass the chip and OS security controls using exploitation methods
Shellcode- Activate an embedded payload to retrieve the malware
Malware- Run malicious code
Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability
Exploit- Bypass the chip and OS security controls using exploitation methods
Shellcode- Activate an embedded payload to retrieve the malware
Malware- Run malicious code
Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability
Exploit- Bypass the chip and OS security controls using exploitation methods
Shellcode- Activate an embedded payload to retrieve the malware
Malware- Run malicious code
Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability
Exploit- Bypass the chip and OS security controls using exploitation methods
Shellcode- Activate an embedded payload to retrieve the malware
Malware- Run malicious code
Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability
Exploit- Bypass the chip and OS security controls using exploitation methods
Shellcode- Activate an embedded payload to retrieve the malware
Malware- Run malicious code
We see 3 key things
With today’s sophisticated watering hole, spear phishing, and drive by exploits, malicious content downloaded from the web is of particular concern. For this content, we provide a unique proactive approach to securing content, Threat Extraction.