VII Уральский форум Информационная безопасность банков ТЕМАТИЧЕСКОЕ ЗАСЕДАНИЕ № 1 Банковский фрод Безкоровайный Денис Игоревич, руководитель направления по работе с финансовыми организациями Trend Micro Источник: http://ural.ib-bank.ru/materials_2015

1. Опыт противодействия целенаправленным
атакам в финансовых организациях
Денис Безкоровайный, CISA, CISSP, CCSK, Аудитор СТО БР ИББС
Руководитель направления по работе с финансовыми организациями
Trend Micro

2. Самая большая проблема –
это осознать проблему
Это просто вирус!
Это плохой антиспам!
Это глупый пользователь!

3. Все это борется только с известными угрозами
Next-Gen Firewall
Системы обнаружения
атак (IDS)
Системы IPS
Антивирус
Шлюз Email /Web
Известные
угрозы
Есть средства защиты
3

4. Традиционную защиту довольно просто обойти
Есть средства защиты, но нет защищенности
 Разведка и подготовка
 Целевой email-фишинг
 Неизвестное ВПО
 Новые эксплойты
 Широкий набор уязвимостей
 Динамические C&C-серверы
 BYOD ?
4
Next-Gen Firewall
Системы обнаружения
атак (IDS)
Intrusion Prevention
(IPS)
Антивирус
Шлюз Email /Web

5. Реальные данные по реальным Заказчикам
Обследования с Deep Discovery
Обнаружено % компаний
Известное ВПО 98%
Активные ботнеты 94%
Банковское ВПО 75%
Вредоносные документы 75%
ВПО, использующее
уязвимости нулевого дня
49%
Сетевые атаки 84%
ВПО для Android 28%6

6. Примеры из банка:
клиенты ботнетов
В некоторых банках «живут» десятки
зараженных машин

7. Примеры из банка:
TOR

8. • Атаки Drive By Download – автоматическая загрузка вредоносного
файла на машину пользователя
• Подтвержденные вредоносные файлы, скачанные из Интернет на
рабочие станции
– прошли через веб-шлюз, не детектировались АВ
• Использование некоторыми машинами нелегитимных DNS-серверов
• Целевой фишинг с вредоносным содержимым
– прошли через почтовый-шлюз, не детектировались АВ
Confidential | Copyright 2014 TrendMicro Inc.
Примеры из банков:
прочие признаки атак

9. Confidential | Copyright 2014 TrendMicro Inc.
Примеры из банков:
почти всегда
91% атак начинаются с электронной почты

10. Copyright 2014 Trend Micro Inc. 11
Какую информацию получают наши
клиенты
 Откуда атака? Куда выводятся данные?
 Сколько машин/сотрудников скомпрометированы?
 Как давно?
 Атака уникальная или просто мой АВ не справился?
 Как предотвратить?

11. Внимание, вопрос!
• Какой процент вредоносных программ
заражает менее 10 компьютеров?
– 99%
• Какой процент вредоносных программ
заражает только один компьютер?
– 80%

12. Как обнаружить неизвестные угрозы?
Продвинутый сетевой анализ
Динамический анализ угроз («песочницы»)
Обработка индикаторов компрометации
Корреляция с глобальной базой угроз
13

13. Продвинутый сетевой анализ
14
DNS
SQL P2P
HTTP SMTP
CIFS
FTP
…
Windows/Mac OS/Mobile
– действия атакующего
• ошибки аутентификации, нестандартные протоколы
• эксплойты
• ВПО
– вывод данных
– коммуникации C&C
– выявляются подозрительные файлы для
дальнейшего анализа

14. Динамический анализ угроз
(виртуальные «песочницы»)
15

15. Индикаторы компрометации (IoC):
– IP адреса, домены
– Паттерны в URL
– Хеш-суммы файлов
– Email адреса
– X-Mailer
– HTTPUserAgent
16

16. Корреляция
с глобальной базой угроз
17

17. Отсылают файлы
для анализа
Web шлюз
Интеграция – пример
Confidential | Copyright 2014 TrendMicro Inc.
Обновления «черных
списков» IP/доменов
Обновления АВ сигнатур
Email шлюз
Endpoint защита
IPS
Trend Micro
Deep Discovery
Отсылает IoC
и обратную связь
Коммутатор
Сбор трафика
для анализа (SPAN)
SIEM
Endpoint Forensics
Другие продукты
Отсылает IoC
и события

18. Что дает Trend Micro Deep Discovery?
Аналитикам ИБ – инструмент анализа и
мониторинга угроз
CISO – защита инвестиций в ИБ:
возможность по-новой использовать
существующие системы защиты, дополнять
локальной аналитикой
Confidential | Copyright 2014 TrendMicro Inc.

19. Живет ли в вашей сети слон?
Confidential | Copyright 2014 TrendMicro Inc.

20. Вопросы?
21

21. Спасибо!
DENIS_BEZKOROVAYNY@TRENDMICRO.COM
22