Downloaded 412 times
![Вот так развивалась защита сетевого
оборудования Cisco
3900(E)
ISR 4451-X
2000
2005
2010
2015
Anti-Counterfeiting (ACT)
39[24]5 PPC (XSPACE, ASLR)
MIPs based G2 – Partial ASLR
39[24]5e Intel (XSPACE)
Image Signing
Common Criteria + НДВ ФСТЭК
FIPs
CSDL
Trust Anchor Module
(SUDI, Secure Storage,
Entropy)
Secure Boot,
Image Signing,
XSPACE.
ASLR enabled IOSd
Cisco SSL
Common Criteria, FIPs
ISR
Anti-Counterfeiting (ACT)
Common Criteria
FIPs
3900 Series
1900 Series
800 Series
Cisco 1800 Cisco 2800 Cisco 3800
G1
G2
G3
51](https://image.slidesharecdn.com/malwaredefense-171012200049/75/slide-51-2048.jpg)
Uploaded byAleksey Lukatskiy
Борьба с вредоносным кодом: от базовых мер к целостной стратегии
Документ анализирует современные угрозы в области кибербезопасности, включая вредоносное ПО и методики борьбы с ним. Основное внимание уделяется недостаткам традиционных антивирусных решений и необходимости интеграции более комплексных подходов к защите информации. Подчеркивается важность адаптации методов защиты к новым методам атак и угрозам, в том числе с использованием специализированных инструментов для сбора информации и защиты сети.
More Related Content
Similar to Борьба с вредоносным кодом: от базовых мер к целостной стратегии
Борьба с вредоносным кодом: от базовых мер к целостной стратегии
- 1. 12 октября 2017 Бизнес-консультантпо безопасности Один из аспектов технической защиты информации Борьба с вредоносным кодом Алексей Лукацкий
- 2. Проблема сознания • Ориентацияна прошлый опыт • Следование принципу «здесь и сейчас» • Нежелание встать на место злоумышленника • Точечный подход • Фокус только на ПК
- 3. К чему этоприводит или как мы обычно боремся с вредоносным ПО? • ИБ или ИТ-службы, которые привыкли делать «потому что так принято», не задумываясь о актуальной модели угроз • Традиционный (или даже продвинутый) антивирус на ПК • МСЭ на периметре для блокирования вредоносных коммуникаций (C&C или 139-й порт) • Настройки антивируса обычно используются по умолчанию Антивирус МСЭ
- 4. C чем можетбороться данный сценарий? • Широко распространенное вредоносное ПО • Сигнатуры для него известны в течение месяцев • Если используются командные C&C-сервера, то их IP-адреса обычно известны • Вложения в e-mail, содержащие старые исполняемые файлы • Старое вредоносное ПО на флешках • Прямая загрузка вредоносного ПО из Интернет (например, бесплатные антивирусы или дефрагментаторы) Уровень обнаружения на VT – выше 80%
- 5. Почему этого сценариянедостаточно? • Сложные программные продукты, созданные квалифицированными программистами и архитекторами (НЕ ОДИН .EXE файл, НЕ ОДИН вектор атаки) • Высокий уровень доработки продуктов для очередной кампании • Дропперы и даунлоудеры и иже с ними: внедрение одного модуля на 99% приведёт к внедрению следующих уникальных модулей • Известно, что вредоносное ПО будут искать • Известно про запуск в песочницах • Развитая индустрия создания специфического ПО с неплохими бюджетами и высоким уровнем заинтересованности • Все лучшие методологии разработки и отладки
- 6. С кем выборетесь?
- 7. Чем вам поможетантивирус в этих случаях?
- 8. Сбербанк – одиниз популярных мотивов
- 9. Клиенты банков –частые жертвы фишеров
- 10.
- 11.
- 12.
- 13. Подставные Mail.ru, Gmailи Yandex
- 14. Не только черезпочту, но и через соцсети
- 15. Цель: Заставить что-тосделать
- 16. • TheHarvester –утилита для сбора контактной информации (e-mail, поддомены, имена сотрудников и т.п.) • Ищут в поисковых системах (включая Яндекс), серверах ключей PGP, SHODAN и т.п. Сбор контактов с помощью TheHarvester http://www.edge-security.com/theharvester.php
- 17. Пример работы утилитыTheHarvester
- 18. Сбор контактов спомощью recon-ng • Recon-ng – многофункциональный инструмент для изучения/разведки Web • Множество разных модулей, решающих различные задачи, включая и сбор контактов • Входит в состав Kali Linux https://bitbucket.org/LaNMaSteR53/recon-ng
- 19. Пример работы утилитыrecon-ng
- 20. Попробуем перейти набазовый уровень • Стандартизованные и централизованно управляемые антивирусы, системы управления патчами и резервного копирования • Ограничение использования прав локальных администраторов пользователями • Защита электронной почты и фильтрация URL Email Security Web Security Антивирус МСЭ
- 21. C чем можетбороться данный сценарий? • Тривиальные модификации известного вредоносного ПО • Вариации использованных IP- адресов, хешей файлов, но с повторным использованием основных компонент ПО, поведения и методов заражения • Эксплойты для известных и старых уязвимостей в пользовательском ПО (браузеры, MS Office, Acrobat Reader и т.п.) Уровень обнаружения на VT – от 40 до 80%
- 22. Мы часто ошибаемся,нажимая на клавиши • Что произойдет, если мы наберем «w» вместо «s» или «x» вместо «c»?
- 23. Куда вы попадете,набрав sbirbank.ru?
- 24. Фальшивые домены иURLcrazy • URLcrazy – утилита для изучения комбинаций возможных имен сайта, похожих на «жертву» • 8000 типичных ошибок • 15 типов вариантов доменов http://www.morningstarsecurity.com/research/urlcrazy http://tools.kali.org/information-gathering/urlcrazy
- 25. Пример работы утилитыURLcrazy
- 26.
- 27.
- 28. Bы мoжeтe найтиoтличия? * - в названии слайда тоже есть ошибки J
- 29. Вы можете найтиотличия? a а≠ U+0061 латиница U+0430 кириллица * - в названии слайда уже нет ошибок J
- 30.
- 31. Клонирование сайта дляначинающих
- 32. Клонирование сайта дляначинающих
- 33. Легко ли создатьфишинговое сообщение?
- 34. Попробуем всем управлять •Уход от антивируса в сторону EPP • Стандартизованные образы ПО • Несколько антивирусных движков на уровне защиты e-mail и Web • Перезапись URL в e-mail • Песочница для средств защиты e-mail и Web • Антифишинговые тренинги • Формализованный процесс управления уязвимостями • Обнаружение C&C Email Security Web Security МСЭ EPP Песочница МСЭ IPS Мониторинг DNS
- 35. C чем можетбороться данный сценарий? • Использование полиморфизма в коде, но поведение повторяется • Обфускация файлов для обхода распространенных антивирусов и базовых песочниц • Безфайловые вирусы • Эксплойты для известных, но свежих уязвимостей в пользовательском ПО (браузеры, MS Office, Acrobat Reader и т.п.) Уровень обнаружения на VT – от 5 до 40%
- 36. Малый и среднийбизнес, филиалы Кампус Центр обработки данных Thi s Thi s This image cannot Th is Th is Th is Th is Интернет ASA ISR IPS ASA Почта Веб ISE Active Directory Беспроводная сеть Коммутатор Маршрутизатор Контент Политика Интегрированные сервисы ISR-G2 CSM ASA ASAv ASAvASAv ASAv Гипервизор Виртуальный ЦОД Физический ЦОД Удаленные устройства Доступ Облачный шлюз безопасности This imag e Облачный шлюз безопасности Матрица ASA, (сеть SDN) АСУ ТП CTD IDS RA МСЭ Беспроводная сеть Коммутатор Маршрутизатор СегментацияМониторинг Современный хакер обращает внимание не только на периметр
- 37. Хакер не обязательноидет через периметр
- 38. И даже еслиу вас нет Wi-Fi, вас могут через него атаковать
- 39. Подмена Wi-Fi-точки доступаи перехват паролей Видео-демонстрация
- 40.
- 41. Аппаратные закладки набазе Raspberry Pi Лобби и переговорки… Вы их контролируете?
- 42. А еще существуетвзлом через переговорную комнату Видео-демонстрация
- 43. Как попасть впомещение? Видео-демонстрация
- 44. Как попасть впомещение?
- 45. Что вы будетеделать, если найдете флешку у дверей офиса? Любопытство возьмет верх или нет?
- 46.
- 47.
- 48. Продвинутая защита длябольшинства случаев • Threat Intelligence для всех элементов системы защиты • Расширение функционала решения за счет контроля поведения трафика и пользователей • Дополнение функционала EPP функциями обнаружения и реагирования на инциденты (EDR) и круглосуточный мониторинг и реагирование (MDR) • Интеграция хостовых и сетевых средств обнаружения и реагирования Email Security Web Security МСЭ EPP Песочница МСЭ IPS UEBA EDR Анализ трафика Мониторинг DNS ИБ IaaS/PaaS Mobile Device Management (MDM) Защита серверов CASB
- 49. C чем можетбороться данный сценарий? • Отсутствие повтора поведения • Обфускация файлов для обхода продвинутых песочниц • Маскировка под нормальные файлы, удаление индикаторов заражение • 0Day в пользовательских приложениях • Модификация известных техник, адаптированных под новые приложения и ОС • Распространение по сети (например, после компрометации ПК) Уровень обнаружения на VT – менее 5%
- 50. История атак наоборудование Cisco • Это привело к появлению множества новых технологий контроля целостности оборудования - Trust Anchor, Secure Boot, Image Signing и др. Вариант 0 Вариант 1 Вариант 2 Вариант 3 Вариант 4 Вариант 5 Метод заражения Статический Статический В процессе исполнения В процессе исполнения В процессе исполнения Статический Цель IOS IOS IOS IOS, linecards IOS, ROMMON IOS Архитектура цели MIPS MIPS MIPS MIPS, PPC MIPS MIPS Транспорт C&C Неприменимо Неприменимо ICMP UDP ICMP TCP SYN Удаленное обнаружение Через криптоанализ Через криптоанализ Используя протокол C2 Используя протокол C2 Не напрямую Да
- 51. Вот так развиваласьзащита сетевого оборудования Cisco 3900(E) ISR 4451-X 2000 2005 2010 2015 Anti-Counterfeiting (ACT) 39[24]5 PPC (XSPACE, ASLR) MIPs based G2 – Partial ASLR 39[24]5e Intel (XSPACE) Image Signing Common Criteria + НДВ ФСТЭК FIPs CSDL Trust Anchor Module (SUDI, Secure Storage, Entropy) Secure Boot, Image Signing, XSPACE. ASLR enabled IOSd Cisco SSL Common Criteria, FIPs ISR Anti-Counterfeiting (ACT) Common Criteria FIPs 3900 Series 1900 Series 800 Series Cisco 1800 Cisco 2800 Cisco 3800 G1 G2 G3 51
- 52. Как бороться соспецслужбами? • Фокус на обнаружении • Стратегия разрешения только хорошо известного • Белые списки приложений и изоляция сегментов сети, приложений и узлов на уровне данных, не допуская взаимодействия доверенных и недоверенных активов • Виртуализация, удаленные браузеры на уровне ПК • TPM, контроль целостности ОС, подпись всех e-mail, контроль потоков, удаленная верификация Email Security Web Security МСЭ EPP Песочница МСЭ IPS UEBA EDR Анализ трафика Контроль приложений ЛокализацияЗащита серверов Изоляция Мониторинг DNS Mobile Device Management (MDM)
- 53. C чем можетбороться данный сценарий? • Разрешенные известные, подписанные или в памяти • Скрытие в firmware или других компонентах, невидимых для ОС • Продвинутые техники обхода • Отсутствие или хорошо замаскированные коммуникации с C&C • 0Day, задействующие новые техники • Экслойты в привилегированном коде • Злоупотребление разрешенными приложениями • Атака на firmware/BIOS • Атака через физический доступ Уровень обнаружения на VT – 0%
- 54. Три измерения борьбыс вредоносным ПО Конкретный семпл Инфраструктура злоумышленников ПКВся сеть ВПО Канал управления - традиционная защита - рекомендуемая защита
- 55. Решение по защитеот вредоносного ПО 1Gartner Report “Office 365, Google Apps for Work and Other Cloud Office Key Initiative Overview” July 2015 Эффективное решение по защите от вредоносного ПО – это не серебряная пуля и не гарантирует 100%-й защиты. Однако оно способно помочь: • Предотвратить попадание вредоносного ПО в сеть или на ПК, когда это возможно • Остановить его до того, как оно будет управляться извне • Обнаружить, когда оно появится в сети • Локализовать его для защиты от распространения по сети • Обеспечить реагирование для устранения уязвимостей и локализации атакованных участков
- 56. Разведка Доставка ЦЕЛЬ Управление Действия ВЗЛОМ ЗапускЭксплойт Инсталляция ЗАРАЖЕНИЕ Всесторонняя инфраструктура защиты NGIPS NGFW Анализ аномалий Network Anti- Malware NGIPS NGFW Host Anti- Malware DNSЗащита DNS Защита Web Защита Email NGIPS DNSЗащита DNS Защита Web NGIPS Threat Intelligence
- 57. Резюмируя Старое ВПО VT >80% Известные эксплойты, ботнеты VT40-80% Новые варианты VT 5-40% Целевое ВПО VT < 5% Новое ВПО VT =0% Зрелость защиты от вредоносного ПО СложностьвредоносногоПО СтарыйИзвестныйНовыйЦелевойПродвинутый Процесс реагирования Патчи, защита e- mail и URL- фильтрация Архитектура, осведомленность Управление уязвимостями, EPP, песочница Мониторинг 24/7 и непрерывное тестирование EDR Адаптивная архитектура Изоляция, threat hunting 60% всех вредоносных программ 95% всех вредоносных программ 99% всех вредоносных программ
- 58. Что у вас есть? Чеговам не хватает? Что вам понадобится? Идентифицируйте используемые вами технологии ИБ, используемые данные и способы их получения, не забывая про моделирование угроз Определите ваши краткосрочные, среднесрочные и долгосрочные планы и возможные угрозы для них, а затем определите данные, которые вам нужны для их обнаружения Выберите необходимые источники данных, обучите персонал и, по необходимости, внедрите новые решения по кибербезопасности и анализу информации для ИБ Что сделать после конференции?
- 59. Где вы можетеузнать больше? http://www.cisco.com/c/ru_ru/about/brochures.html https://habrahabr.ru/company/cisco/ https://www.cisco.com/c/en/us/ solutions/enterprise- networks/ransomware- defense/index.html
- 60. Пишите на security-request@cisco.com Бытьв курсе всех последних новостей вам помогут: Где вы можете узнать больше? http://www.facebook.com/CiscoRu http://twitter.com/CiscoRussia http://www.youtube.com/CiscoRussiaMedia http://www.flickr.com/photos/CiscoRussia http://vkontakte.ru/Cisco http://blogs.cisco.ru/ http://habrahabr.ru/company/cisco http://linkedin.com/groups/Cisco-Russia-3798428 http://slideshare.net/CiscoRu https://plus.google.com/106603907471961036146/posts http://www.cisco.ru/
- 61.