Downloaded 176 times
Uploaded byAleksey Lukatskiy
Ландшафт технологий кибербезопасности 2025
Документ рассматривает ключевые аспекты кибербезопасности, включая влияние новых технологий на защиту данных и услуги. Обсуждаются современные вызовы, такие как небезопасные практики пользователей и атаки на ПК, а также необходимость адаптации стратегий к динамичным изменениям в области угроз. В документе также выделяются области, требующие внимания, включая нехватку специалистов и развитие технологий для обнаружения и предотвращения угроз.
More Related Content
Similar to Ландшафт технологий кибербезопасности 2025
Ландшафт технологий кибербезопасности 2025
- 1. 18 декабря 2017 Бизнес-консультантпо безопасности Ландшафт технологий кибербезопасности 2025 Алексей Лукацкий
- 2. Что влияет накибербезопасность? Трансформация продаж и услуг $152B Работники следующего поколения $50B Платежи $43B Видео-советники $38B Таргетированная реклама и маркетинг $33B Брендированные услуги $25B Виртуальные помощники $5B Инновационные продукты $19B Консалтинг $9B APT Инсайдеры Мошенничество Законодательство Финтех Кибер- безопасность Социальные сети Software Defined Networks Мобильность Большие данные и аналитика Интернет вещей Облачные технологии Искусственный интеллект
- 3. Магические аббревиатуры 1. FW,IDS, IPS, AV, VM, DLP, PKI, SIEM, UTM, WAF, MDM, HIPS 2. NTA, EDR, SOC, UEBA, CASB, TI, EPP, NGAV, STAP, EVC, BDS, PAM, NFT, IRP, NAC, SAT, IAG, NGEP, AEP, AWL 3. SDS, SDP, DDP, MDR, SOAR !Что у вас есть? В утвержденном сегодня плане мероприятий по ИБ в рамках «Цифровой экономики» есть и другие аббревиатуры
- 4. Мобильные пользователи Филиал Где/как мыобычно строим защиту? Облако Сеть Админ ЦОД Пользователи ЗАПИСЫВАТЬ каждую коммуникацию Понимать, что такое НОРМА Предупреждать об ИЗМЕНЕНИЯХ ЗНАТЬ каждый узел Реагировать на УГРОЗЫ быстро HQ
- 5. Даже если вашпериметр защищен • А что делать с возрастающим объемом зашифрованного трафика (например, TLS)? • А как быть с технологиями типа pinning? • А наш периметр готов к переходу в облака? • А периметр учитывает программно- определяемые сети и сегментацию? 🤦
- 6. Пора задуматься осмене стратегии © 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 6
- 7. Как «читать» гартнеровскиехайпы Впервые стали говорить Много шума Не так страшен черт, как его малюют Наработаны контрмеры Плато продуктивности технологии Исследования Пора пилотировать Время принимать решения Пора брать
- 8. Инфраструктурная безопасность • Инфраструктурная безопасность– наиболее проработанный и зрелый рынок • Российские вендоры смотрят именно сюда, как на наиболее «понятный» им сегмент
- 9. Откуда вы беретеданные об угрозах? • TI – это базирующееся на доказательствах знание об угрозах (индикаторы компрометации, контекст, механизмы, тактики, процедуры, акторы и др.) • Знать не достаточно – примените знание к вашим решениям по ИБ • Не чурайтесь бесплатных и open source источников и решений • Внедрите платформу TIP и интегрируйтесь с SIEM 💻Cisco, Kaspersky Lab, Group-IB, Перспективный мониторинг, ГосСОПКА, FinCERT, BI.ZONE
- 10. ПК остаются основнойточкой входа для инцидентов инцидентов начинаются на ПК 70% ПОЧЕМУ? Разрыв в защите организаций говорят, что атаки обходят средства предотвращения 65% Ошибки пользователей атакующих обходят защиту ПК из-за ошибок пользователей 48% Разрыв в видимости Организаций не могут определить причину инцидента 55% среднее время обнаружения в индустрии 100ДНЕЙ Источник: Cisco
- 11. 3 современных подходак защите ПК может требовать дополнительной экспертизы и ресурсов Обнаруживать IOCs & аномалии в системной активности 0 1 0 1 1 1 1 0 1 1 1 0 1 1 0 0 1 1 0 0 0 0 1 1 1 0 1 1 1 0 1 0 0 0 0 1 0 0 0 1 1 0 0 0 0 0 1 0 0 1 0 0 0 0 1 0 0 1 0 0 может потребовать от пользователей изменения поведения и может быть сложным во внедрении Изолировать приложения & данные в гипервизоре/контейнерах 0 1 0 1 1 1 1 0 1 1 1 0 1 1 0 0 1 1 0 0 0 0 1 1 1 0 1 1 1 0 1 0 0 0 0 1 0 0 0 1 1 0 0 0 0 0 1 0 0 1 0 0 0 0 1 0 0 1 0 0 может обеспечить лучшую видимость и блокирование *если* есть возможность блокировать по любому порту, протоколу или приложению Предотвращать соединения в Интернет- активности 0 1 0 1 1 1 1 0 1 1 1 0 1 1 0 0 1 1 0 0 0 0 1 1 1 0 1 1 1 0 1 0 0 0 0 1 0 0 0 1 1 0 0 0 0 0 1 0 0 1 0 0 0 0 1 0 0 1 0 0
- 12. Защита DNS Защищает доступк Интернет везде Вредонос C2-соединения Фишинг HQ Sandbox NGFW Proxy Netflow AV AV ФИЛИАЛ Router/UTM AV AV ROAMING AV Первая линия Все это начинается с DNS DNS используется всеми устройствами Защита от вредоносов, фишинга и общения с C2 Получение контроля над всеми устройствами и пользователями в Интернет
- 13. Сдвиг с предотвращенияк реагированию Защита в момент времени Непрерывная защита Сеть ПК Мобильное устройство Виртуальная машина Облако Жизненный цикл внутренней угрозы Исследование Внедрение политик Укрепление Обнаружение Блокирование Защита Локализация Изолирование Восстановлени е ДО АТАКИ ВО ВРЕМЯ АТАКИ ПОСЛЕ АТАКИ
- 14. EDR: на чтообратить внимание? • Фокус на обнаружение продвинутых угроз, реагирование и расследование • Обнаружение за счет контроля поведения или через IoC • Производительность агентов • Где управление и анализ данных – консоль, локальный ПК, облако? • Интеграция с сетевой безопасностью для лучшего обнаружения • Постепенное слияние с сегментом EPP 💻
- 15. EDR vs STAPvs EVC EDR STAP EVC BDS NGEP AEP Gartner IDC Forrester NSS Labs EDR – Endpoint Detection & Response STAP – Specialized Threat Analysis & Protection EVC – Endpoint Visibility & Control BDS – Breach Detection System NGEP – Next Generation Endpoint Protection AEP – Advanced Endpoint Protection
- 16. Игроки рынка EDR •Carbon Black, Cisco, CounterTack, CrowdStrike, Cyberbit, Cyberreason, Cynet • Digital Guardian, Endgame, F-Secure, Fidelis, Fireeye, WatchGuard • Invincea, LightCyber, McAfee, Microsoft, Nuix, Outlier Security, Panda, RSA • SecDo, SentinelOne, Symantec, Tanium, Verint • Open Source: Google Rapid Response, Facebook osquery, Mozilla Investigator, El Jefe, Lima Charlie, Sysmon + ELK 💻
- 17. Нехватка специалистов побезопасности Потребность в специалистах по кибербезопасности в 12 раз выше, чем в ИТ- специалистах Нехватка специалистов по кибербезопасности в России составляет около 55-60 тысяч человек при ежегодной подготовке 25500 человек Компании с недостатком специалистов, тратят на борьбу с последствиями атак в среднем в 5 раз больше ? Мировая нехватка специалистов по кибербезопасности составит к 2020-му году 1 миллион человек Security Team
- 18. MDR vs EDR:что выбрать? • Необходимость внедрения концепции EDR при отсутствии экспертизы или ресурсов • Услуга реагирования на инциденты опциональна • Возможно ваш MSSP предлагает или планирует предлагать эту услугу • Возможно EDR-вендор предложить вам «урезанную» версию сервиса • Не забывайте, что это аутсорсинг со всеми его плюсами и минусами 💻Cisco, AlertLogic, FireEye, eSentire, Rapid7, Raytheon, Red Canary, SecureWorks, Artic Wolf
- 19. Угроза может проникнутьминуя периметр Лобби и переговорки… Вы их контролируете? Любопытство возьмет верх или нет?
- 20. А еще хакерылезут через Wi-Fi
- 21. Сеть как масштабируемыйисточник знаний Interwebs Internal Network Ключевые NetFlow поля • Packet count • Byte count • Source IP address • Destination IP address • Start sysUpTime • End sysUpTime • Packet count • Byte count • Input ifIndex • Output ifIndex • Type of Service • TCP flags • Protocol • Next hop address • Source AS number • Dest. AS number • Source prefix mask • Dest. prefix mask Использование Время Где QoS От/Куда Использование Роутинг и пиринг NetFlow Data NetFlow Collector
- 22. NTA: на чтообратить внимание? • DPI или NetFlow/sFlow/jFlow/cFlow/IPFIX (поддерживает ли оборудование?) • Это не IDS/SIEM/UEBA – разные задачи • Физическое / виртуальное устройство / работа с сетевым оборудованием напрямую • Работа в облачных средах • Взаимодействие с агентами на узлах для подтверждения атаки • Конфликт «сетевики vs безопасники» – чье решение? 🕸Cisco, Darktrace, Vectra, LightCyber, Fidelis, FireEye, Phirelight, Trend Micro, Kaspersky Lab, SS8, Microolap
- 23. Технология поведенческой аналитики: ключевыеособенности • Анализ активности пользователей, как первоочередная задача • Анализу подлежит активность и поведение пользователей, а не роли, атрибуты или параметры доступа (хотя они важны в контексте) • Анализ подразумевает не использование жестко зафиксированных правил корреляции, а применение более интеллектуальных методов (например, машинного обучения и т.п.), позволяющих без описанных ранее шаблонов зафиксировать аномалии в поведении
- 24. 3 причины обращениязаказчиков к UEBA • Нехватка возможностей существующих решений и технологий по обнаружение угроз, связанных с деятельностью пользователей • Необходимость мониторить окружение, которое не покрывается другими решениями и технологиями • Высокая стоимость сортировки и приоритезации событий ИБ в существующих SIEM-решений, которые как-то но оперируют событиями, связанными с пользователями
- 25. Продукт или технология? •Вы можете выбрать отдельный продукт или встроенную в существующее решение технологию / функцию • Возможно сегмент отдельных продуктов UEBA «вымрет», слившись с другими классами продуктов, повысивших свою эффективность работы с пользовательским контекстом UEBA Технология SIEM DLP NTA EDR IAG/PAM Продукт
- 26. UEBA: на чтообратить внимание? • Анализ активности (профилирование) пользователя на разных уровнях (логи, поведение, сетевой трафик) • Какие источники данных поддерживаются? • Необходимо понимать свое окружение и что такое «нормально» или «аномально» • Отдельный продукт или одна из функций SIEM, NTA, EDR, PAM, DLP 🙇Balabit, Exabeam, Gurucul, Fortscale, Intersect, Preempt, RedOwl, Rapid7, Securonix, Splunk
- 27. Сетевые ресурсыПолитика доступа ТрадиционнаяTrustSec Доступ BYOD Быстрая изоляция угроз Гостевой доступ Ролевой доступ Идентификация, профилирование и оценка состояния Кто Соответствие нормативам P Что Когда Где Как Программно определяемая микросегментация Дверь в сеть Контекст
- 28. SDS: на чтообратить внимание? • Агенты, виртуальные устройства, контейнеры или использование сетевого оборудования • Работа с облачными средами • Понимание топологии и матрицы доступа • Интеграция с существующей сетевой инфраструктурой и структурой ИБ • Начните с критических сегментов и приложений 🚦Cisco, Illumio, vArmour, CloudPassage, NeuVector, AWS, Azure, Unisys, Catbird, Saife
- 29. Богатый контекст Василий Планшет Здание 7,корпус 2, 1 этаж 11:00 AM Europe/Moscow 11-00 AM Беспроводная сеть Безопасность в контексте Кто Что Где Когда Как Отсутствие контекста IP Address 192.168.1.51 Не известно Не известно Не известно Не известно Нужный пользователь с нужным устройством попадет в сеть только из нужного места с необходимыми правами Любой пользователь. Любое устройство откуда угодно попадает в сеть Результат Контекст:
- 30. SDS vs SDP:на что обратить внимание? • Схожая с SDS технология обеспечения доступа к периметру предприятия на основе контекста (кто, откуда, приложение и т.п.) • Поддержка IaaS • Изменение дизайна и концепции «Интернет- периметра» 🚦Unisys, Cisco, Certes, Saife, Dispel, BlackRidge, Akamai, Vidder, Zentera
- 31. Кто? Известные пользователи (Сотрудники, продавцы,HR) Неизвестные пользователи (Гости) Что? Идентификатор устройства Классификация устройств (профиль) Состояние устройства (posture) Как? Проводное подключение Беспроводное подключение VPN-подключение Где / куда / откуда? Географическое местоположение Департамент / отдел SSID / Порт коммутатора Когда? Дата Время Другие? Пользовательские атрибуты Статус устройства / пользователя Используемые приложения Опыт использования контекста внутри сети Cisco
- 32. Хакеры атакуют мгновеннои сидят в сети незаметно Bitglass 205 Trustwav e 188 Mandiant 229 2287 дней – одно из самых длинных незамеченных вторжений Ponemon 206 HP 416 Symantec 305 Cisco 200
- 33. Обман как тактикав ИБ • Сети (IP, VLAN) • Сервера (контроллеры, Web, SQL) • Уязвимости приложений • ПК • Данные (логины/пароли, файлы, куки и др.) Надувной истребитель
- 34. DDP: на чтообратить внимание? • Агент или виртуальное устройство • Типы эмулируемых систем • Наличие ресурсов для работы с такими системами • Понимание существующей топологии • Интеграция в существующую систему ИБ на предприятии 🔮Attivo, TrapX, Cymmetria, Illusive, Javelin, TopSpin, GuardiCore, Acalvio, Код безопасности
- 35. А можно попробоватьбесплатно? • Amun • Conpot • Dionaea • DCEPT • Elastichoney • Glastopf • Honeyd • HoneyDrive • Kippo • p0f • ShockPot • Wordpot 🔮Возможно стоит попробовать open source решения для оценки идеи и ее реализации
- 36. От обмана ксимуляции 👊AttackIQ, Core Security, Cymulate, SafeBreach, Verodin, Threatcare • Технологии симуляции атак позволяют предсказать, что произойдет в вашей организации в случае взлома • Портфолио симулируемых атак (размер и частота обновления) • Не отменяет пентестов, часто требуемых на уровне законодательства
- 37. Согласно оценкам Гартнерк 2018: 25% корпоративного трафика будет миновать периметр ИБ.
- 38. Облачные приложения становятся неотъемлемойчастью бизнеса Как осуществляется их защита? Удаленный доступ Оперативность и скорость Улучшенное взаимодействие Увеличение продуктивности Экономичность Утечка конфиденциальных данных Риски несоответствия правовым нормам Риск инсайдерских действий Вредоносное ПО и вирусы
- 39. Понимание рисков, связанныхс облачными приложениями, для вашего бизнеса Это проблема, так как ваш ИТ-отдел: • Не видит, какие используются приложения • Не может идентифицировать опасные приложения • Не может настроить необходимые средства управления приложениями сотрудников признают, что используют неутвержденные приложения1 72% ИТ-отделов используют 6 и более неутвержденных приложений2 26% корпоративной ИТ-инфраструктуры в 2015 году будет управляться вне ИТ-отделов 35% «Теневые» ИТ Использование несанкционированных приложений Источник: 1CIO Insight; 2,3Gartner
- 40. Понимание рисков использованияданных в облачных приложениях Это проблема, так как ваш ИТ-отдел: • Не может остановить утечку данных и устранить риски несоблюдения нормативных требований • Не в состоянии заблокировать входящий опасный контент • Не в силах остановить рискованные действия пользователей организаций сталкивались с утечкой конфиденциальных данных при совместном использовании файлов1 90% приложений могут стать опасными при неправильном использовании2 72% файлов на каждого пользователя открыто используется в организациях3 185 «Теневые» данные Использование санкционированных приложения для неправомерных целей Источник: 1Ponemon, 2013 Cost of Data Breach Study; 2CIO Insight; 3Elastica
- 41. Payroll.docx Пользователи свободно обмениваются информациейи это может привести к нарушениям безопасности Источник: 1: Обеспечение соблюдения нормативных требований в новую эпоху облачных приложений и «теневых» данных При использовании облачных приложений ИТ-отдел не может контролировать все разрешения на совместное использование 20% совместно используемых файлов содержит данные, связанные с соблюдением нормативов
- 42. Облачная безопасность • ОблачнаяИБ находится еще на заре своего развития • Объект защиты находится преимущественно за пределами корпоративной сети
- 43. Что такое CASB? Утечкиданных Защита данных и соответствие требованиям Риски теневых ИТ и приложений Контроль и видимость приложений Скомпрометирован- ные учетные записи и внутренние угрозы Защита от угроз и UEBA ПриложенияУчетные записи Данные
- 44. CASB: на чтообратить внимание? • Контроль через forward/reverse proxy или через API • Рейтинг рисков приложений и действий • Мониторинг данных и UEBA • Интеграция с защитой периметра • Поддержка ваших облачных сервисов (в России могут быть сложности) ☔Cisco, SkyHigh, Microsoft (Adallom), Symantec, Forcepoint, Oracle, Netskope, CipherCloud
- 45. Безопасность ваших облачныхрабочих мест AV HIPS EDR, мониторинг поведения Шифрование данных, IaaS Защита памяти / предотвращение эксплойтов Контроль приложений (AWL) Управление целостностью системы Сегментация, МСЭ, visibility Конфигурация, управление уязвимостями Нет клиентов Web/Email Управление привилегиями админов Управление изменениями Управление логами Гигиена Базовые меры защиты серверов Опциональные меры защиты серверов
- 46. На что обратитьвнимание? • EPP – не лучшее решение для серверов • Интеграция с IaaS • Наличие полного API • Поддержка гибридного управления (для облаков и решений on premise) ⛅Carbon Black, Illumio, Kaspersky Lab, McAfee, Sophos, Symantec, Trend Micro, Tripwire
- 47. Безопасность данных • Безопасность данныхнаходится над инфраструктурной и облачной ИБ (другое измерение) • Наиболее интересные и инвестируемые сегодня технологии
- 48. Безопасность приложений • Бизнеси регуляторы предъявляют все больше требований к безопасности приложений • Требуется повышение осведомленности разработчиков
- 49. Как выглядит рынокИБ изнутри • Аналитика – это обязательная функция любого продукта по ИБ (без нее продукт обречен) • SaaS-версия продукта часто помогает развитию
- 50. Аналитика ИБ –это сегодня «must have» Что происходит? Почему это происходит? Что произойдет? Что я должен сделать? Описать Диагностировать Предсказать Предписать IDS, AV, SIEM, TI NTA, UEBA, NFT, EDR Fraud Detection SOAR, Attack Simulation Правила, машинное обучение, обнаружение аномалий, исторический анализ (ретроспектива), искусственный интеллект
- 51. Машинное обучение (искусственныйинтеллект) Известные варианты угроз Автоматическая классификация Неизвестные угрозы Полностью автоматическое обучение Автоматическая интерпретация результатов Глобальная корреляция по всем источникам IoC по одному или нескольким источникам Один источник (DNS, e-mail, web, файл и т.п.) 1-е поколение 2-е поколение 3-е поколение • Машинное обучение – не панацея • Интернет движется к тотальному шифрованию • Злоумышленники остаются незамеченными – стеганография • За искусственным интеллектом в ИБ – будущее
- 52. Шифрованный трафик: знаквремени Приватность граждан Требования государства ИБ организации Шифрованный трафик растет Он составляет 60% от общего объема https:// Растущая тенденция шифрования Web-трафика создает ложное чувство защищенности и слепые зоны для защитников
- 53. Технология анализа зашифрованного трафика Известный трафикВПО Известный «чистый» трафик Анализ метаданных в сетевом трафике Применение машинного обучения для построения детекторов Сессии известного ВПО детектируются в зашифрованном трафике с точностью 99+% “Identifying Encrypted Malware Traffic with Contextual Flow Data” AISec ’16 | Blake Anderson, David McGrew
- 54. Обнаружение ВПО вшифрованном трафике Acc. FDR SPLT+BD+TLS+HTTP+DNS 99.993% 99.978% TLS 94.836% 50.406% DNS 99.496% 94.654% HTTP 99.945% 98.996% TLS+DNS 99.883% 96.551% TLS+HTTP 99.955% 99.660% HTTP+DNS 99.985% 99.956% SPLT+BD+TLS 99.933% 70.351% SPLT+BD+TLS+DNS 99.968% 98.043% SPLT+BD+TLS+HTTP 99.983% 99.956% TLS DNS HTTP SPLT+BD 54
- 55. От SIEM кSOAR • В отличие от анализа логов, обеспечиваемого SIEM, решения SOAR вобрали в себя целый набор различных технологий, обеспечивающих деятельность SOC и служб мониторинга ИБ
- 56. Отражение угроз • Гартнеровские циклыс разных точек зрения оценивают различные технологии и сегменты, что позволяет выбрать правильную точку зрения
- 57. Классическая пара МСЭ+AVдля борьбы с современным ВПО • Памятник вирусу NotPetya / Nyetya в Сколково • Открыт 18 декабря 2017 года при участии компании «Инвитро»
- 58. Может ли классическаяпара МСЭ+AV бороться с APT? Реальное время или близкое к нему Анализ пост- фактум Сеть Анализ сетевого трафика Расследование инцидентов на уровне сети Содержимое Анализ содержимого Оконечные устройства Анализ поведения на оконечных устройствах Расследование инцидентов на уровне оконечных устройств • Откуда брать данные об угрозах? • Кто анализирует поведение? • Где анализируется поведение? • Как увеличить время проникновения и сбора следов?
- 59. Что надо учитыватьпри борьбе с ВПО? Исследование Внедрение политик Укрепление Обнаружение Блокирование Защита Локализация Изолирование Восстановлени е ДО АТАКИ ВО ВРЕМЯ АТАКИ ПОСЛЕ АТАКИ Network Forensics Endpoint Forensics SOAR Attack Simulation Network Traffic Analysis Network Sandboxing User Entity Behavior Analytics Deception Threat Intelligence
- 60. Почему такой набор? Канал •Интернет: E-mail • Интернет: Web • Внутри: Wi-Fi • Физический доступ: USB, цепочка поставок, обновление ПО, подрядчики Техника заражения • Старое ВПО • Известный эксплойт • Новый эксплойт к недавней уязвимости • 0day Тело вредоноса • Старое ВПО – известный хэш • Известное тело – простые модификации • Новое тело + обфускация • Нет повторного использования прежних атак • Различные техники обхода на разных уровнях
- 61. Борьба с ВПОвыглядеть должна так • Эшелонированная оборона • Различные технологии обнаружения • Защита на уровне ПК, сети и Интернет • Контроль семплов и инфраструктуры злоумышленников Email Security Web Security МСЭ EPP Песочница МСЭ IPS UEBA EDR Анализ трафика Контроль приложений ЛокализацияЗащита серверов Изоляция Мониторинг DNS Mobile Device Management (MDM) ИБ IaaS/PaaS CASB
- 62. Вам нужен продуктили решение ваших задач?
- 63. iCAM People Data Identity Policy Identity Data Center Lab End Points Public Cloud User Identity Device Identity Applications & Data InfoSec End User HR/Legal Manager Raw Events Corrective Action Alert Feedback CPR HRMS LDAP OnRamp DCE ISE EMANCES PSIRT BI DI DLP GDM ARTCEPM DSPL Всё лиможно купить на рынке? Источник: Cisco
- 64. Topic (Services) Behavior Rules События пользователей Box Jive SFDC End-User’s Manager Уведомление 1 Behavior DB 4 Аномальное поведение 6 7 Обратная связь сменеджером 8 Анализ поведения 5 Determine and Log the Cisco data at risk Анализ событий3 Behavior Reconstruction Balance Security and Productivity Public Cloud Обеспечение контекста User Identity: DSX, CES, HRMS, CPR Data Identity: Symantec DLP, DSPL, PSIRT Device Identity: ISE, DCE, GDM Network Identity: EMAN 2 iCAM in green Others in violet ENG DC Topic Alfresco Private Cloud CITEIS ENG Lab Data Lake … … iCAM: разработка Cisco «для себя»
- 65. • 10 секундна детектирование риска • 24 часа на устранение риска Скорость • 4+ миллиардов событий ежедневно • ±2000 инцидентов в квартал Объемы • 40+ миллиардов файлов Cisco были защищены • 16,000+ серверов мониторится Ценность для бизнеса • User-To-Ops: 100,000 : 1 • 90% сигналов тревоги управляются автоматически • Только 1% инцидентов требует ручной поддержки от Ops Качество операций Эффект от iCAM в Cisco 15,2 миллиона долларов ежегодной экономии / сохранности
- 66. OpenSOC и TIP:еще один пример собственной разработки внутри Cisco 6 Мультипетабайтное хранилище Интерактивные запросы Поиск в реальном времени Масштабируемая обработка потоков Неструктурированные данные Контроль доступа к данным Масштабируемые вычисления Hadoop Big Data Platform OpenSOC Алерты в реальном времени Обнаружение аномалий Корреляция данных Правила и отчеты Прогнозное моделирование UI и приложения
- 67. Не спешите покупатьхайп – поймите свои потребности!
- 68. Начните с малого:от пассивной обороны к активной Встроенная защита Защита от угроз, не требующая участия человека Анализ со стороны человека в поисках следов нарушителей Сбор данных, обогащение информации и представление разведданных Юридические меры против нарушителей
- 69. Поэтапное наращивание защитных возможностей •Модельуниверситета ПурдьюАрхитектура •Эшелонированная оборона •Серия NIST SP800 и NIST SCF •17/21/31-й приказ ФСТЭК Пассивная оборона •Цикл активной кибер-обороны •Network Security MonitoringАктивная оборона •Kill Chain •Diamond ModelРазведка •Юридические методы против нарушителей •Перехват C&CНападение
- 70. В основе всеголежит архитектура! Ценность Цена Архитектура Пассивная оборона Активная оборона Разведка Нападение
- 71. Все зависит отмодели угроз / нарушителя Новички Киберкриминал Корпоративный шпионаж/ кибертерроризм Спецслужбы ИБ нет Архитектура Пассивная оборона Активная оборона Разведка
- 72. В качестве резюме •Современные решения – это инструменты. Кто-то должен уметь ими пользоваться и выстраивать процессы • Без аналитики сегодня все решения по ИБ обречены на провал • Серебряной пули нет и не будет • Решения должны использовать комбинации методов обнаружения (threat intelligence, правила, алгоритмы) • Не пытайтесь все нейтрализовать • Поймите свое окружение, что нормально, а что нет? • Сложно найти отечественные решения
- 73.