Конференция "Код Иб 2016". Екатеринбург

1. Александр Русецкий,
Эксперт Центра информационной
безопасности
Как правильно выбрать решение для
защиты от таргетированных атак?
#CODEIB

2. © 2016 Инфосистемы ДжетБольше чем безопасность
Независимые песочницы Интегрируемые с продуктами
из портфеля вендора
«Песочницы» в портфеле
Центра информационной безопасности
Blue Coat MAA
Check Point
SandBlast
McAfee ATD
Palo Alto WildFire
Trend Micro Deep Discovery
2
Kaspersky Anti Targeted
Attack Platform (KATA)
Fire Eye
FortiSandBox
Cisco AMP

3. © 2016 Инфосистемы ДжетБольше чем безопасность
Рассматриваемые решения
3
 F.A.Q. от заказчиков
 Архитектурные особенности и функциональные нюансы
 Уровень обнаружения ВПО не анализировался
FireEye Trend Micro
Deep Discovery
Check Point
SandBlast
Kaspersky Anti
Targeted Attack
Platform (KATA)
Рассматриваемые решения

4. © 2016 Инфосистемы ДжетБольше чем безопасность
The Forrester Wave™
4
 Automated Malware
Analysis, Q2 2016
 11 вендоров
 Проверка HTTP/SMTP трафика
 Динамический анализ

5. © 2016 Инфосистемы ДжетБольше чем безопасность
Варианты исполнения решений
5
HW
HW
VA (DDI, ISWS)
HW
Облако
SW

6. © 2016 Инфосистемы ДжетБольше чем безопасность
Компоненты решений
6
Основные компоненты:
 Анализ web-трафика
 Анализ почты
 Система мониторинга и управления
 Защита рабочих станций
Дополнительные компоненты:
 Защита файловых серверов
 Анализ и проведений расследований
 Захват трафика
Основные компоненты:
 Анализ web-трафика
 Анализ почты
 Централизованное управление
 Защита рабочих станций
Дополнительные компоненты:
 Внешняя песочница
 Secure Web Gateway
Основные компоненты:
 SandBlast - анализ web-трафика, почты
проверка SSL
 Защита рабочих станций
Дополнительные компоненты:
 Security Gateway: NGТP/NGTX
Основные компоненты:
 Сетевые сенсоры
 Центр анализа
 Песочница
 Легкие агенты
Дополнительные компоненты:
 Локальная база репутаций

7. © 2016 Инфосистемы ДжетБольше чем безопасность
Анализ web-трафика
7
+
 Идеальный вариант для пилота
 Нет влияния на текущую
инфраструктуру
 Предлагают все вендоры
-
 Только мониторинг
! Требуется расшифровка SSL
Режим SPAN

8. © 2016 Инфосистемы ДжетБольше чем безопасность
Анализ web-трафика
8
+
 Блокировка
-
 Влияние на текущую инфраструктуру
 Предлагают не все вендоры
! Требуется расшифровка SSL
Режим Inline

9. © 2016 Инфосистемы ДжетБольше чем безопасность
Анализ почты
9
Режим BCC
+
 Идеальный вариант для пилота
 Нет влияния на текущую
инфраструктуру
 Предлагают практически все вендоры
-
 Только мониторинг

10. © 2016 Инфосистемы ДжетБольше чем безопасность
Анализ почты
10
Режим MTA
+
 Блокировка
 Предлагают практически все вендоры
-
 Влияние на текущую инфраструктуру

11. © 2016 Инфосистемы ДжетБольше чем безопасность
Анализ и расшифровка ssl
11
 Check Point
 Другие вендоры: требуется интеграция
Стороннее решение
(SPAN
Inline)
Стороннее решение
(SPAN
ICAP)
Стороннее решение
(SPAN
ICAP)

12. © 2016 Инфосистемы ДжетБольше чем безопасность
Тип эмулируемого подозрительного контента
12
 Отдельные файлы
 Скрипты
 Макросы
 Копия трафика
 Проверка архивов с
паролем, указанным в
теле письма
 Проверка web-ссылок в
теле письма
 Проверка укороченных
ссылок в теле письма
 Мобильные приложения
 Проверка архивов с
паролем, указанным в
теле письма
 Проверка web-ссылок
в теле письма
 Проверка
укороченных ссылок в
теле письма
 Проверка web-ссылок
в теле письма
В RoadMap:
• Проверка укороченных
ссылок в теле письма
• Проверка архивов с
паролем, указанным в
письма
 Проверка незапароленных
архивов в теле письма
В RoadMap:
• Проверка web-ссылок в теле
письма
• Проверка архивов с паролем,
указанным в теле письма
• Проверка архивов с паролем,
по библиотеке
распространения паролей

13. © 2016 Инфосистемы ДжетБольше чем безопасность
Средства анализа
13
Критерий FireEye TrendMicro DD
Check Point
SandBlast
KATA
Используемые
технологии эмуляции
Собственная
технология
VirtualBox
Собственная
технология
KVM
Настройка/
кастомизация
песочниц
Нет
(образы
преднастроены
производителем,
поддержка
мультиверсионности
ПО)
Да
(возможно
создание своих
собственных
образов)
По запросу По запросу

14. © 2016 Инфосистемы ДжетБольше чем безопасность
Поддерживаемые ОС и языки в «песочнице»
14
(RoadMap)

15. © 2016 Инфосистемы ДжетБольше чем безопасность
Поддерживаемые типы файлов
15
FireEye Trend Micro DD Check Point SandBlast KATA
0
5
10
15
20
25
30
35
40
45
Типы файлов*
* Примерное количество. RoadMap
 Исполняемые типы файлов
 Офисные документы
 Архивы
 Скрипты
 Аудио/видео форматы
 Графические
 Мобильные приложения

16. © 2016 Инфосистемы ДжетБольше чем безопасность
Дополнительные критерии
16
Критерий FireEye TrendMicro DD
Check Point
SandBlast
KATA
Лицензии на
Windows/Office в
составе решения
Да Нет Да Нет
Возможность
масштабирования по
производительности
Да
Да
(кластеризацию
поддерживает
только компонент
DDAn)
Да
Нет
(в RoadMap –
сентябрь 2016г.)

17. © 2016 Инфосистемы ДжетБольше чем безопасность
Защита рабочих станций
17
Критерий FireEye TrendMicro DD
Check Point
SandBlast
KATA
Наличие агентского ПО
для защиты от угроз
«нулевого дня»
Да
(HX)
Да
(Endpoint Sensor)
Да
(при наличии
SandBlast Agent)
Ограниченно
(легкие агенты
собирают
информацию о
процессах и сетевой
активности)
Возможность изоляции
скомпрометированной
рабочей станции
Да
(при наличии HX)
Нет
(RoadMap- EndPoint
Sensor)
Да
(при наличии
SandBlast Agent)
Нет
(RoadMap)

18. © 2016 Инфосистемы ДжетБольше чем безопасность
Пилотное внедрение
18
 Требования заказчика
 Векторы защиты
 Выбор решения
 SSL
 Отказоустойчивость
 Объекты для анализа
 Отчет/презентация

19. © 2016 Инфосистемы ДжетБольше чем безопасность
Jet Info: ANTI-APT
19
 Экспертиза
 Практика
 Мнения заказчиков
Печатная версия на нашем стенде
Электронная версия скоро на сайте
Jet Info

20. Вопросы?!
Александр Русецкий
Email: as.rusetskiy@jet.msk.su
Mobile: +7 926 156 81 25
#CODEIB