Download as PDF, PPTX
Uploaded byAleksey Lukatskiy
Борьба с внутренними угрозами. Обзор технологий
Документ описывает внутренние угрозы безопасности и технологии их обнаружения и предотвращения, подчеркивая, что к 2018 году 25% корпоративного трафика будет обходить традиционные системы защиты. Он также рассматривает недостатки в управлении облачными приложениями IT-отделами, что может привести к утечкам данных и несоответствиям. Основное внимание уделяется жизненному циклу угроз, методам анализа данных и подходам к идентификации рисков внутри организации.
More Related Content
Similar to Борьба с внутренними угрозами. Обзор технологий
Борьба с внутренними угрозами. Обзор технологий
- 1. 22 сентября 2016 Бизнес-консультантпо безопасности Внутренние угрозы. Обзор технологий противодействия Алексей Лукацкий
- 2. Один день изжизни CISO в Cisco 2 4TB Данных для сбора/анализа NetFlow для анализа в день (Lancope) 15B Инспектируется трафика в день 47TB Сигналов тревоги в день (NG-IPS) 1.5M Сетевых событий 1.2T 10K Файлов для анализа в день (ThreatGRID) 4.8B Записей DNS в день 45M Web-транзакций блокируется (WSA) 425 Защитных устройств 4.1M Email-транзакций блокируется в день (ESA)
- 3. Не все ливам равно, откуда исходит угроза? Может ли внутренняя угроза исходить из внешнего источника? Чем отличается внутренняя угроза от внешней? Что такое внутренняя угроза? © 2015 Cisco and/or its affiliates. All rights reserved. 3
- 4. Атака через внутреннююточку доступа – это внутренняя угроза?
- 5. Подмена точки доступаи перехват паролей Видео-демонстрация
- 6. Что вы будетеделать, если найдете флешку у дверей офиса? Любопытство возьмет верх или нет?
- 7.
- 8. Аппаратные закладки набазе Raspberry Pi Лобби и переговорки… Вы их контролируете?
- 9. Вы думаете этошутка? Видео-демонстрация
- 10. Согласно оценкам Гартнерк 2018: 25% корпоративного трафика будет миновать периметр ИБ
- 11. Облачные приложения становятсянеотъемлемой частью бизнеса Как осуществляется их защита? Удаленный доступ Оперативность и скорость Улучшенное взаимодействие Увеличение продуктивности Экономичность Утечка конфиденциальных данных Риски несоответствия правовым нормам Риск инсайдерских действий Вредоносное ПО и вирусы
- 12. Понимание рисков, связанныхс облачными приложениями, для вашего бизнеса Это проблема, так как ваш ИТ-отдел: • Не видит, какие используются приложения • Не может идентифицировать опасные приложения • Не может настроить необходимые средства управления приложениями сотрудников признают, что используют неутвержденные приложения1 72% ИТ-отделов используют 6 и более неутвержденных приложений2 26% корпоративной ИТ-инфраструктуры в 2015 году будет управляться вне ИТ-отделов 35% «Теневые» ИТ Использование несанкционированных приложений Источник: 1CIO Insight; 2,3Gartner
- 13. Понимание рисков использованияданных в облачных приложениях Это проблема, так как ваш ИТ-отдел: • Не может остановить утечку данных и устранить риски несоблюдения нормативных требований • Не в состоянии заблокировать входящий опасный контент • Не в силах остановить рискованные действия пользователей организаций сталкивались с утечкой конфиденциальных данных при совместном использовании файлов1 90% приложений могут стать опасными при неправильном использовании2 72% файлов на каждого пользователя открыто используется в организациях3 185 «Теневые» данные Использование санкционированных приложения для неправомерных целей Источник: 1Ponemon, 2013 Cost of Data Breach Study; 2CIO Insight; 3Elastica
- 14. Надо учитывать весьжизненный цикл угрозы Защита в момент времени Непрерывная защита Сеть ПК Мобильное устройство Виртуальная машина Облако Жизненный цикл внутренней угрозы Исследование Внедрение политик Укрепление Обнаружение Блокирование Защита Локализация Изолирование Восстановление ДО АТАКИ ВО ВРЕМЯ АТАКИ ПОСЛЕ АТАКИ
- 15.
- 16. Сетевые и системные ресурсы Политикадоступа Традиционная TrustSec Доступ BYOD Быстрая изоляция угроз Гостевой доступ Ролевой доступ Идентификация, профилирование и оценка состояния Кто Соответствие нормативамP Что Когда Где Как Дверь в сеть Контекст Давайте попробуем пойти чуть дальше
- 17. • Случайная утечка •Шпионаж • Финансовое мошенничество • Злоупотребления • Кража данных • Кража физическая • Саботаж • Изменения в продукты • Вандализм Шаг 1. Какие угрозы вам важны? Разные угрозы требуют разных технологий!
- 18. • Случайный нарушитель •Неквалифицированный одиночка • Производитель • Партнер • Злонамеренный инсайдер • Вор / промышленный шпион • Активист / идеолог • Террорист / экстремист • Оргпреступность • Конкуренты • Спецслужбы Шаг 2. Какова ваша модель нарушителя? Разные нарушители требуют разных технологий!
- 19. Нетипичные внутренние угрозы Вариант0 Вариант 1 Вариант 2 Вариант 3 Вариант 4 Вариант 5 Метод заражения Статический Статический В процессе исполнения В процессе исполнения В процессе исполнения Статический Цель IOS IOS IOS IOS, linecards IOS, ROMMON IOS Архитектура цели MIPS MIPS MIPS MIPS, PPC MIPS MIPS Транспорт C&C Неприменимо Неприменимо ICMP UDP ICMP TCP SYN Удаленное обнаружение Через криптоанализ Через криптоанализ Используя протокол C2 Используя протокол C2 Не напрямую Да
- 20. Шаг 3. Начто обращать внимание?! Активность • Системная (изменение поведения ИТ- систем или шаблонов доступа) • Объектовая (шаблоны местонахождения и времени) • Бизнес Контекст • Социальный (социальные коммуникации) • Здоровье / психология (изменения в психологии и здоровье) • HR (непростые жизненные события) Телеметрия • Финансовая (непредвиденные или неожиданные траты) • Безопасность (нарушения политик ИБ) • Криминальная
- 21. Шаг 4. Источникиданных для анализа Внутренние • Телеметрия (Netflow, DNS, PCAP, syslog, телефония, GSM и т.п.) • Критичные ресурсы • СКУД (местоположение, GSM, CCTV, бейджи и т.п.) • Данные о персонале (HR, проверки СЭБ и т.п.) Внешние • Данные от правоохранительных органов • Банковские выписки • Выписки ДМС, медосмотры
- 22. Контроль физического местоположенияс помощью ИТ – это тоже важно
- 23. • Неудачные попыткивхода в системы • Доступ к нетипичным ресурсам • Профиль сетевого трафика • Утечки данных (по объему, типу сервиса и контенту) • Нетипичные методы доступа • Изменение привилегий • Нетипичные команды • Нетипичные поисковые запросы Шаг 5. Выбрать индикаторы
- 24. • Модификация логов •Нетипичное время доступа • Нетипичное местонахождение • Вредоносный код • Модификация или уничтожение объектов ИТ-инфраструктуры • Поведение конкурентов и СМИ • Необычные командировки и персональные поездки Примеры индикаторов
- 25. • Негативные сообщенияв социальных сетях • Наркотическая или алкогольная зависимость • Потеря близких • Проигрыш в казино • Ухудшение оценок (review) • Изменение финансовых привычек (покупка дорогих вещей) • Нестандартные ИТ-инструменты (сканеры, снифферы и т.п.) Примеры индикаторов
- 26. Объединяя типы угрозыи индикаторы Категория Индикатор 1 2 3 4 5 6 7 8 9 Системная активность Неудачные попытки входа 1 1 1 1 1 1 Доступ к нетипичным ресурсам 1 1 1 1 1 1 Утечка данных 1 2 2 1 2 Изменение привилегий 1 2 1 1 2 2 …
- 27. Шаг 6. 5типов данных для анализа • Сигнатуры, аномалии, превышение тайм-аутов…Сигналы тревоги • E-mail, файлы, Web-страницы, видео/аудио…Контент • Netflow, IPFIX…Потоки • Syslog, CDR…Логи • Имена пользователей, сертификаты… Идентификационные данные
- 28. Малый и среднийбизнес, филиалы Кампус Центр обработки данных Интернет ASA ISR IPS ASA Почта Веб ISE Active Directory Беспроводная сеть Коммутатор Маршрутизатор Контент Политика Интегрированные сервисы ISR-G2 CSM ASA ASAv ASAvASAv ASAv Гипервизор Виртуальный ЦОД Физический ЦОД Удаленные устройства Доступ Облачный шлюз безопасности Облачный шлюз безопасности Матрица ASA, (сеть SDN) АСУ ТП CTD IDS RA МСЭ Беспроводная сеть Коммутатор Маршрутизатор СегментацияМониторинг Откуда брать данные?
- 29. Объединяя типы данныхи места их сбора Место съема данных Источник данных Сигналы тревоги Контент Потоки Логи Идентиф икация Интернет- периметр Сервер DHCP ✔ Сервер DNS ✔ DLP ✔ ✔ ✔ WAF ✔ ✔ NAC ✔ ✔ Маршрутизатор ✔ ✔ …
- 30. Объединяя типы данныхи индикаторы Категория индикатора Индикатор Сигналы тревоги Контент Потоки Логи Идентиф икация Системная активность Неудачные попытки входа ✔ ✔ Доступ к нетипичным ресурсам ✔ ✔ Утечка данных ✔ ✔ ✔ ✔ ✔ Изменение привилегий ✔ ✔ ✔ ✔ Нетипичные команды ✔ ✔ ✔ Нетипичные поисковые запросы ✔ ✔ ✔ ✔ …
- 31.
- 32. Пора задуматься осмене стратегии © 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 32
- 33. Как Cisco ловитугрозы в своей сети? Нейтрализовать и реагировать Метрики и отчеты Управление конфигурацией Инспекция Регистрация Идентификация Телеметрия IDS | IPS | NAM | NetFlow | Web Gateway| HIDS Syslog | TACACS | 802.1x | Antivirus | DNS | DHCP | NAT | VPN Vuln Scans | Port Scans | Router Configs | ARP Tables | CAM Tables | 802.1x Address, Lab, Host & Employee Mgt | Partner DB | Host Mgt | NDCS CSA, AV, Asset DB | EPO, CSA Mgt, Config DB Execs Auditors Infosec IT Orgs HR-Legal Line of Biz Admins End Users Partners Business Functions Информирование Реагирование РасследованиеОбнаружение DBs Внешние фиды об угрозах Сканы Конфиги Логи Потоки События 4TB в день Сист. управления Incident Mgt System Compliance Tracker Incident Response Team Playbook
- 34.