Download to read offline
![[Restricted] ONLY for designated
groups and individuals
Представляем
AG ENT
SandBlast
CHECK POINT](https://image.slidesharecdn.com/checkpoint-160406053212/85/Check-Piont-24-320.jpg)
![SANDBLAST Агент
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
[Restricted] ONLY for designated groups and
Threat Extraction & песочница для
ПК
•Доставляет безопасные файлы
•Проверяет исходные файлы
•Защищает скачивания из интернета и
копирования с внешних носителей](https://image.slidesharecdn.com/checkpoint-160406053212/85/Check-Piont-26-320.jpg)
![SANDBLAST Агент
[Restricted] ONLY for designated groups and
Автоматическое расследование и
ликвидация последствий
•Расследование – экономия времени и денег
•Учет сетевой активности
•Взаимодействие с антивирусом
•Восстановление и ликвидация последствий
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
](https://image.slidesharecdn.com/checkpoint-160406053212/85/Check-Piont-32-320.jpg)
![[Restricted] ONLY for designated
groups and individuals
Ответ на инцидент
предполагает понимание угрозы
Вопросы при расследовании:
1.Атака реальна?
2.Какие способы проникновения?
3.Какие данные были похищены?
4.Как ликвидировать последствия?](https://image.slidesharecdn.com/checkpoint-160406053212/85/Check-Piont-33-320.jpg)
![SANDBLAST Агент
[Restricted] ONLY for designated groups and
Сдерживание
инфекции
Защита
от нацеленных атак
Реакция
](https://image.slidesharecdn.com/checkpoint-160406053212/85/Check-Piont-42-320.jpg)
More Related Content
Similar to Check Piont. Чекрыгин Сергей. "На один шаг впереди"
Check Piont. Чекрыгин Сергей. "На один шаг впереди"
- 1. г. Краснодар 31 МАРТА2016#CODEIB Сергей Чекрыгин Check Point На один шаг ВПЕРЕДИ EMAIL schekrygin@checkpoint.com
- 2. радиционный подход Антивирус Фильтрация поURL IPS, СОВ Анти-бот Контроль приложений Атаки Бот-сети Опасные приложения Вредоносный сайт Вирус
- 3. Больше безопасности водном устройстве Межсетевой экран & VPN Система предотвращения вторжений Контроль приложений Интеграция с AD Фильтрация по URL Антивирус Антибот Сетевой DLP
- 4. Модели 4000 Малые офисы 3ДоГб/c ,МЭ от $600 Корпоративные шлюзы До 6 Гб/c IPS Центры обработки данных До 110 Гб/C МЭ Высокая доступность и легкое обслуживание 15000 23000 41000 61000 1100 Платформа для телеком Мастшабируемость Балансировка нагрузки 2200
- 5. стало известным? о делать, обынеизвестное
- 6.
- 7.
- 8. Мы не сможем решитьпроблему, думая также, как когда мы создали её Альберт Эйнштейн
- 9. еизвестные угрозы не могутбыть пойманы традиционными технологиями ИБ
- 10. Песочница Способ работы стем, что мы не знаем:
- 11. Как работает Песочница •Системный реестр • Сетевые соединения • Файловая активность • Процессы
- 12. Например: •Другая версия ОСили SP •Тестирование на виртуальную машину •Задержка в атаке Вирус может скрыться от Песочницы
- 13.
- 14.
- 15. Уязвимость Проникновение Код пользуетсяуязвимостью для изменения поведения системы Способ проникновения вируса
- 16. Уязвимость Проникновение Shellcode Вредоносныйкод загружается и получает права доступа Способ проникновения вируса
- 17. Shellcode Вирус Код начинает вредоносные действия Способпроникновения вируса Уязвимость Проникновение
- 18.
- 19. Проверка на место возврата A BC D E F21 3 45 6 Проверка возврата управления в код на место вызова в командах процессора для поиска подозрительного кода
- 20. Песочница с защитойот угроз на уровне процессора •Обнаруживает атаки до заражения •Увеличивает шансы поймать вирус •Не зависит от ОС •Устойчива к техникам обхода песочниц
- 21. Можно ли избежатьвсех неизвестных угроз?
- 22. Технология THREAT EXTRACTION Пересозданиедокумента для исключения активного содержимого
- 23.
- 24. [Restricted] ONLY fordesignated groups and individuals Представляем AG ENT SandBlast CHECK POINT
- 25. Предотвращение угроз наПК Незащищенные векторы атаки Работа вне офиса M2M внутри периметра Внешние носители
- 26. SANDBLAST Агент Защита от нацеленныхатак Сдерживание инфекции Реакция [Restricted] ONLY for designated groups and Threat Extraction & песочница для ПК •Доставляет безопасные файлы •Проверяет исходные файлы •Защищает скачивания из интернета и копирования с внешних носителей
- 27. SANDBLAST Расширение для браузера При скачиваниииз интернета Мониторинг файловой системы для копируемых файлов Как работает защита от направленных атак
- 28. Мгновенная защита призагрузке из сети Доставка безопасного файла Конвертация PDF для защиты или безопасная версия исходного файла
- 29. Самостоятельно, без помощи службыподдержки Доступ к исходному файлу после проверки документа
- 30. SANDBLAST Агент -Анти бот длярабочих станций и карантин •Обнаруживает и блокирует общение с командным центром •Указывает на зараженный файл •Изолирует зараженную рабочую станцию Защита от нацеленных атак Сдерживание инфекции Реакция
- 31. Блокируем зараженнуюБлокируемзараженную станциюстанцию Предотвращаем потериПредотвращаем потери • Блокируем управляющий каналБлокируем управляющий канал • Предотвращаем утечку данныхПредотвращаем утечку данных Sandblast Агент: Анти-бот Для рабочих станций ОпределемОпределем зараженные станциизараженные станции • Внутри и вне периметраВнутри и вне периметра • Изолируем работуИзолируем работу внутри периметравнутри периметра Определяет управляющий каналОпределяет управляющий канал – знаем зараженную станцию– знаем зараженную станцию Блокирует управляющий каналБлокирует управляющий канал –– изолируем вирусизолируем вирус Управление остановлено Управляющий канал Анти-бот
- 32. SANDBLAST Агент [Restricted] ONLYfor designated groups and Автоматическое расследование и ликвидация последствий •Расследование – экономия времени и денег •Учет сетевой активности •Взаимодействие с антивирусом •Восстановление и ликвидация последствий Защита от нацеленных атак Сдерживание инфекции Реакция
- 33. [Restricted] ONLY fordesignated groups and individuals Ответ на инцидент предполагает понимание угрозы Вопросы при расследовании: 1.Атака реальна? 2.Какие способы проникновения? 3.Какие данные были похищены? 4.Как ликвидировать последствия?
- 34. Анализ сетевой активности SandBlastAgent Forensics Обнаружен ие бота Обнаружен ие бота Блокировка управляющего канала Блокировка управляющего канала Зараженная станция Зараженная станция Командный центрКомандный центр Изучение атакиИзучение атаки
- 35. Перехват коммуникации Процесс связывается с командным центром Перехват коммуникации Процесс связываетсяс командным центром Происхождени е атаки Уязвимость в Chrome Происхождени е атаки Уязвимость в Chrome От инцидента к расследованию Автоматический анализ от начала атаки От инцидента к расследованию Автоматический анализ от начала атаки Код для проникновения Файл запущен в Chrome Код для проникновения Файл запущен в Chrome Атака отслеживается при перезагузках Атака отслеживается при перезагузках Похищенные данные Вирус обращался к документу Запуск вируса Вирус запустится после загрузки Запуск вируса Вирус запустится после загрузки Скачивание вируса Вирус скачан и установлен Скачивание вируса Вирус скачан и установлен Активация вируса Запланирована задача после загрузки Активация вируса Запланирована задача после загрузки
- 36. Что обычно делаютпосле взлома? Традиционное расследование Традиционное расследование Надежда на карантин антивируса Надежда на карантин антивируса Восстановление из образа Восстановление из образа • Работает только для известных угроз • Антивирус пропустит всё, что было до обнаружения вируса • Данные могут быть похищены до обнаружения • Работает только для известных угроз • Антивирус пропустит всё, что было до обнаружения вируса • Данные могут быть похищены до обнаружения • Не возвращает похищенные данные • Затратная и разрушительная процедура • На защитит от повторной атаки • Не возвращает похищенные данные • Затратная и разрушительная процедура • На защитит от повторной атаки • Расследование требует времени • Расследование требует редкой квалификации • Слишком дорого для каждого инцидента • Расследование требует времени • Расследование требует редкой квалификации • Слишком дорого для каждого инцидента Обычный подход после инцидента:
- 37. Подозрительн ая активность Детали Степень опасности Вопрос 1:Это реальная атака? Понимание инцидента Мгновенный ответ На важные вопросы
- 38. Понимание инцидентаВыводы Детал и Вопрос 2:Какие способы проникновения?
- 39. Утерянные файлы Вопрос 3: Каковущерб? Что похищено? Понимание инцидента
- 40. От понимания кдействиям Генерация скрипта для восстановлени я Вопрос 4: Как ликвидировать последствия? Как восстановиться?
- 41. Взгляд на этапыатаки Интерактивный отчет •Вся атаки на одном экране •Отслеживание всех элементов •Обзор всех перезагрузок •Детали по каждому элементу Интерактивный отчет •Вся атаки на одном экране •Отслеживание всех элементов •Обзор всех перезагрузок •Детали по каждому элементу
- 42. SANDBLAST Агент [Restricted] ONLYfor designated groups and Сдерживание инфекции Защита от нацеленных атак Реакция
- 43. Единственное решение савтоматическим анализом инцидентов и скриптом для восстановления SANDBLASTSANDBLAST АгентАгент Другие продукты собирают данные для анализа SandBlast Агент анализируетанализирует
- 44. Демонстрация и пилотирование ОтчетSecurity Checkup – проверка трафика в сети заказчика, бесплатно и конфиденциально. •Выявляение опасных приложений, •доступ к опасным сайтам, •коммуникации бот-сетей, •вирусные атаки, •утечка данных, •IPS атаки, •объяснение выявленных угроз, •рекомендации по устранению Обратить к партнеру для заказа услуги
- 45. CHECK POINT Мы защищаем будущее СергейЧекрыгин schekrygin@checkpoint.com
Editor's Notes
- #3 This approach is important and needed as many of the attacks are still using known methods and malware
- #11 Current solution to fight zero day and unknown malware is sandboxing Sandbox is a powerful solution it is looking for malicious activities when the running malware
- #15 Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
- #16 Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
- #17 Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
- #18 Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
- #19 Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
- #27 We see 3 key things
- #29 With today’s sophisticated watering hole, spear phishing, and drive by exploits, malicious content downloaded from the web is of particular concern. For this content, we provide a unique proactive approach to securing content, Threat Extraction.
- #31 We see 3 key things
- #33 We see 3 key things
- #43 We see 3 key things