Що таке ATD і для чого вона потрібна. Інтеграція з іншими рішеннями для обміну IOC. Контроль репутації файлів. OpenDXL як механізм під'єднання до шини McAfee DXL. Автоматична передача маркерів з McAfee ATD на пристрої Cisco, Fortinet, Checkpoint та інші. Побудова комплексу захисту на різних рішеннях. Демо роботи із ATD та OpenDXL. #OptiData

1. Робота із malware:
Виявлення, аналіз, обмін IOC
(ATD + TIE + OpenDXL)
Владислав Радецький
vr@optidata.com.ua

2. #whoami
Працюю у компанії OptiData
Аналізую віруси
Пишу статті
Проводжу навчання з різних аспектів ІБ
Допомагаю з проектуванням, впровадженням та
супроводом засобів захисту
Прийшов до вас щоб поділитися досвідом
vr@optidata.com.ua
radetskiy.wordpress.com

3. Ми – команда спеціалістів з практичним досвідом інтеграції з ІБ.
Працюємо лише з тим, в чому розбираємось.
Більшість здійснених нами проектів захищені NDA.
Проектуємо. Навчаємо. Розгортаємо. Захищаємо.
Що таке OptiData ?

4. #IOC та звіти шукайте тут:
radetskiy.wordpress.com
Життя без sandbox: ~40 хв / 1 зразок

5. Навіщо нам sandbox ?

6. 24/05 сталася наступна подія:

7. 14/03 – ми вперше отримали цей зразок:

8. 20/03 – (без sandbox!) повний аналіз

9. Навіщо нам sandbox ?
• Автоматизація потокової перевірки файлів
• Формування чітких та повних списків IOC
• Розуміння схеми атак для корекції політик
• Захист від того, що дозволено бізнесу (!)

10. McAfee ATD
DXL
/OpenDXL
McAfee ATD
NSP, Web, TIE/Endpoint
Bro IDS Sensor
Будь-який Email Gateway

11. McAfee ATD
DXL
/OpenDXL
McAfee ATD
NSP, Web, TIE/Endpoint
Bro IDS Sensor
Будь-який Email Gateway
• Статичний та динамічний аналіз файлів (>60 типів)
• Кастомізація образів тестових ВМ
• Підтримка ОС Windows XP – 10, Srv2k8 - 2016
• HW / VA (VMware, Hyper-V, Azure)
• Широкі можливості інтеграції

12. McAfee ATD - розвиток

13. • Virtual Appliance for VMware - 3.10 12/2016
•
•
•
McAfee ATD - розвиток

14. • Virtual Appliance for VMware - 3.10 12/2016
• Email Connector, Srv&Office 2016, HTML - 4.0 06/2017
•
•
McAfee ATD - розвиток

15. • Virtual Appliance for VMware - 3.10 12/2016
• Email Connector, Srv&Office 2016, HTML - 4.0 06/2017
• Hyper-V, Azure, TAXII, VM Builder - 4.2.0 11/2017
•
McAfee ATD - розвиток

16. • Virtual Appliance for VMware - 3.10 12/2016
• Email Connector, Srv&Office 2016, HTML - 4.0 06/2017
• Hyper-V, Azure, TAXII, VM Builder - 4.2.0 11/2017
• Email > STIX & Open IOC, SNTP, SNMPv3 - 4.4.0 05/2018
McAfee ATD - розвиток

17. • HTML, PDF, XML, JSON, Dropped
• Syslog, SNMP
• STIX, TAXII, Open IOC
• DXL > TIE, OpenDXL
McAfee ATD – обмін маркерами (IOC)

18. • HTML, PDF, XML, JSON, Dropped
• Syslog, SNMP
• STIX, TAXII, Open IOC
• DXL > TIE, OpenDXL
McAfee ATD – обмін маркерами (IOC)
STIX
ESM
DXL
/OpenDXL
McAfee ATD Обмін IOC через TAXII

19. McAfee ATD
Демо

20. McAfee ATD

21. McAfee ATD

22. McAfee ATD

23. McAfee ATD

24. McAfee ATD - XMode

25. • Центральне джерело репутації
• Посилення або заміна DAT/GTI
• Оператор може вносити зміни
• Канал обміну – шина DXL
McAfee TIE – БД репутації файлів
McAfeeATD
McAfee ePO
McAfee ENS
DXL
McAfee TIE

26. McAfee TIE – БД репутації файлів

27. Інтеграція до DXL (OpenDXL)
Складнощі:
•Обмін обліковими даними
•Різні API
•Різні порти/протоколи
•Обмін подіями (усе разом)
Modify
Network
Traffic
Modify Network Traffic
Modify Network
Traffic
Modify
Network
Traffic
Modify Network Traffic
Modify
Network Traffic
Рішення #4
Рішення #3
Рішення #2
Рішення #1

28. McAfee DXL
Рішення #1
Рішення #4
Рішення #3
Data Exchange Layer
Рішення #2
Переваги:
•Одна шина, один протокол
•Одне API
•Центральна авторизація
•1:~ (підписка)
•1:1 (запит інформації)

29. McAfee DXL – “Security Connected”
• McAfee Threat Intelligence Exchange (TIE)
• McAfee Endpoint Security (ENS)
• McAfee Active Response (MAR)
• McAfee Enterprise Security Manager (ESM)
• McAfee ePolicy Orchestrator (ePO)
• McAfee Advanced Threat Defense (ATD)
• McAfee Web Gateway (MWG)
• McAfee Application Control (MAC)
• McAfee Network Security Platform (NSP)
• McAfee Data Loss Prevention (DLP)
Endpoint
Protection
Compliance
Network
IPS
Analytics Mobile
Firewall
Gateway
Security
Data
Protection

30. OpenDXL – інтеграція засобів захисту
Aruba ClearPass
Policy Manager
McAfee Active
Response
(MAR)
OpenDXL
Orchestration
Script
McAfee Threat
Intelligence
(TIE)
Rapid7
Nexpose
Data
Exchange
Layer
McAfee
ePO
•TIE Client Module
•MAR Client Module
Infected
Endpoint
Malicious
Site
Check Point
Firewall
Malware
Приклад:
•Підписуємося на події Check Point
•Запускаємо пошук через MAR
•Оновлюємо репутацію через TIE
•Призначаємо Tag усім інфікованим
•Запускаємо скан Nexpose
•Оновлюємо списки доступів Aruba

31. OpenDXL
Підписка на канали Запит інформації

32. • Розширення схеми McAfee DXL
• 2 режими обміну: підписка (1:~) та запит (1:1)
• Можливість інтеграції з іншими рішеннями ІБ
• Обмін IOC між різними засобами безпеки
• MQTT, TLS 1.2, PKI, двосторонній зв'язок
OpenDXL

33. OpenDXL
Демо

38. OpenDXL
приклади застосування

42. ▪ SandBlast integration with DXL, TIE and ePO
▪ Publishing Topics: File Reputation, IOC, Threat Event Data, Mobile
▪ Subscribing Topics: IOC, File Reputation Updates
▪ ClearPass integration with DXL and ePO
▪ Publishing Topics: IOC Information, New Asset Discovery Information
▪ Subscribing Topics: IOC information, Threat Event
▪ Nexpose integration with DXL, TIE and ePO
▪ Publishing Topics: IOC, Vulnerability, New Asset Discovery Information
▪ Subscribing Topics: IOC, File Reputation, Threat Event, Vulnerabilities
▪ Deception Grid integration with DXL, TIE and ePO
▪ Publishing Topics: File Reputation, IOC, Threat Event Data
▪ Subscribing Topics: IOC, File Reputation, Threat Event
SIA
Partners
OpenDXL – приклади інтеграції

43. OpenDXL – приклади інтеграції

45. • FAQs for McAfee ATD (KB79333)
• community.mcafee.com/t5/Products/ct-p/products
• opendxl.com
• github.com/opendxl/
• facebook.com/Optidata.com.ua
• radetskiy.wordpress.com
Джерела інформації

46. Запитання ?

47. Дякую вам за увагу!