Recommended
More Related Content
What's hot
What's hot (20)
Similar to CheckPoint Sandblast _Защита от угроз Нулевого дня
Similar to CheckPoint Sandblast _Защита от угроз Нулевого дня (20)
More from Alexander Kravchenko
More from Alexander Kravchenko (13)
CheckPoint Sandblast _Защита от угроз Нулевого дня
- 1. ©2016 Check Point Software Technologies Ltd. 1©2016 Check Point Software Technologies Ltd. Вымогатели нового уровня, или как защититься от угроз Нулевого дня
- 2. ©2016 Check Point Software Technologies Ltd. 2
- 3. ©2016 Check Point Software Technologies Ltd. 3 Технологии информационной защиты • Анти-Вирус ̶ Блокирует файлы с известными вирусами • IPS ̶ Анализирует трафик и блокирует его на основе известных шаблонов • Анти-Бот ̶ Обнаруживает подозрительный трафик по обновляемым шаблонам Эффективны, но против ИЗВЕСТНЫХ угроз СИГНАТУРЫ всегда ОТСТАЮТ
- 4. ©2016 Check Point Software Technologies Ltd. 4
- 5. ©2016 Check Point Software Technologies Ltd. 5[Restricted] ONLY for designated groups and individuals Во всех этих фотографиях содержатся новые модули для вредоносного ПО
- 6. ©2016 Check Point Software Technologies Ltd. 6 99% контрольных сумм зловредов видны 58 секунд или меньше Насколько это серьезно? Чтобы избежать детектирования, хакеры часто модифицируют код и схемы взаимодействия Большинство вирусов встречаются лишь раз Source: Verizon 2016 Data Breach Investigations Report
- 7. ©2016 Check Point Software Technologies Ltd. 7 ВСЕ БОЛЬШЕ И БОЛЬШЕ ТОГО, ЧТО ВЫ НЕ ЗНАЕТЕ УГРОЗЫ НУЛЕВОГО ДНЯ, Вирус CVE Нежелательные URL APT АТАКИ, НЕИЗВЕСТНОЕ ВРЕДОНОСНОЕ ПО Сигнатуры Эксплоиты Трояны Бот-сети РОСТ НЕИЗВЕСТНОГО ВРЕДОНОСНОГО ПО
- 8. ©2016 Check Point Software Technologies Ltd. 8 Сигнатурные методы защиты неэффективны Ч т о д е л а т ь ?
- 9. ©2016 Check Point Software Technologies Ltd. 9[Restricted] ONLY for designated groups and individuals Наблюдаем: • Реестр • Сетевые соединения • Действия с файлами • Действия с процессами Откроем файл в безопасной среде Эмуляция Поведение – вот что выдает зловредное ПО. Однако... T H R E AT C O N T AI N E D
- 10. ©2016 Check Point Software Technologies Ltd. 10 Обычную песочницу не так сложно обойти Запуск по таймеру Ускорение таймера Зловред использует собственный таймер … Обнаружение песочницы Песочница эмулирует CPU Обнаружение эмуляции CPU … Ожидание действия человека Имитация кликов, движения мышки Обнаружение аномалий поведения …
- 11. ©2016 Check Point Software Technologies Ltd. 11 Семейство ТЕХНОЛОГИЙ для защиты от угроз Нулевого дня Среда эмуляции (Уровни ЦП и ОС), устойчивая к методикам обхода THREAT EMULATION Проактивное удаление опасного контента при доставке THREAT EXTRACTION Быстрое понимание ситуации для лучшей защиты и исправления ENDPOINT FORENSICS Защита учетных записей от кражи через фишинговые сайты ZERO PHISHING Идентификация и восстановление после действий программы- вымогателя ZERO RANSOMWARE 11
- 12. ©2016 Check Point Software Technologies Ltd. 12 Эмуляция в SandBlast всегда на шаг впереди УЯЗВИМОСТЬ EXPLOIT ЗАГРУЗЧИК ЗЛОВРЕДЫ Тысячи Миллионы Десятки ОБХОД ПЕСОЧНИЦЫ Обычная песочница CPU Detection Engine ДО того, как запустится код обхода… ДО загрузки зловреда…. ©2016 Check Point Software Technologies Ltd.
- 13. ©2016 Check Point Software Technologies Ltd. 13 DEP Процессор может выполнить код только с исполняемых страниц Есть способы примерного определения расположения нужных DLL Использовать части кода, которые уже в памяти ASLR Размещение библиотек в случайном месте памяти Технология OS Действия атакующего ROP Return Oriented Programming Как хакеры обходят встроенную защиту OS • Исследование кода, которые уже в памяти на момент активации эксплойта • Выбор Гаджетов: коротких отрезков, заканчивающихся RET • Составление shell code из этих примитивов (гаджетов)
- 14. ©2016 Check Point Software Technologies Ltd. 14 … на шаг впереди ©2016 Check Point Software Technologies Ltd.
- 15. ©2016 Check Point Software Technologies Ltd. 15 БОЛЕЕ 27 ТЕХНОЛОГИЙ ПРОДВИНУТОГО ОБНАРУЖЕНИЯ И ПРЕДОТВРАЩЕНИЯ УГРОЗ WEB INSPECTION MACHINE LEARNING DOCUMENT VALIDITY BEHAVIOR ANALYTICS CPU LEVEL DETECTION ANTI RANSOMWARE ANTI PHISHING THREAT EXTRACTION FORENSICSDECOYS & TRAPS MEMORY ANALYSIS
- 16. ©2016 Check Point Software Technologies Ltd. 16 Sandblast Threat Extraction Доставка гарантированно безопасных файлов Д О П О С Л Е Активация вредоносного ПО Вредоносное ПО удалено Немедленный доступ. Проактивная защита. [Restricted] ONLY for designated groups and individuals
- 17. ©2016 Check Point Software Technologies Ltd. 17 Оригинальный файл доступен по ссылке
- 18. ©2016 Check Point Software Technologies Ltd. 18 ПРОДУКТЫ С ТЕХНОЛОГИЕЙ SANDBLAST Threat Emulation Threat Extraction Threat Emulation Threat Extraction Zero Phishing Forensics Threat Emulation Threat Emulation Threat Extraction A P I Threat Extraction
- 19. ©2016 Check Point Software Technologies Ltd. 19 Быстрое и гибкое развертывание SANDBLAST APPLIANCE CHECK POINT GATEWAY SANDBLAST CLOUD
- 20. ©2016 Check Point Software Technologies Ltd. 20 Кто-то работает удаленно Внешние накопители Архивы с паролем, HTTPS Заражение от другого ПК Некоторые угрозы можно обнаружить только на рабочей станции [Confidential] For designated groups and individuals
- 21. ©2016 Check Point Software Technologies Ltd. 21 SandBlast Agent – защита рабочей станции [Confidential] For designated groups and individuals Быстрое ОБНАРУЖЕНИЕ и ОСТАНОВКА атаки Эффективная ОЧИСТКА и РАССЛЕДО- ВАНИЕ ЗАЩИТА От атак Нулевого дня ЗАЩИТА От фишинга
- 22. ©2016 Check Point Software Technologies Ltd. 22 SANDBLAST CLOUD Анализ файлов на рабочей станции [Confidential] For designated groups and individuals Файл отсылается на устройство или облако SandBlast1 Безопасная копия доставляется мгновенно2 Оригинал эмулируется3
- 23. ©2016 Check Point Software Technologies Ltd. 23 Удаление опасного содержимого и/или конвертация в PDF Защита скачиваемых файлов [Confidential] For designated groups and individuals
- 24. ©2016 Check Point Software Technologies Ltd. 24 Visual Similarity Text Similarity Title Similarity URL Similarity Lookalike Characters Image Only Site Multiple Top-Level Domain Lookalike Favicon IP Reputation Domain Reputation PHISHING SCORE: 95% Предотвращение фишинга Блокирует фишинговые сайты, в том числе новые Новые сайты анализируются1 Репутационный и эвристический анализ2 Вердикт выносится за секунды3[Confidential] For designated groups and individuals Опасно! Вероятно, сайт поддельный!
- 25. ©2016 Check Point Software Technologies Ltd. 25 Corporate Credentials Предотвращение фишинга Защита корпоративного пароля Предотвращает ошибочное или случайное использование корпоративного пароля на других ресурсах.
- 26. ©2016 Check Point Software Technologies Ltd. 26 Обнаружение подозрительной активности [Confidential] For designated groups and individuals ИНФОРМАЦИЯ ОБ УГРОЗАХ постоянно обновляется1 Исходящий трафик проверяется ANTI-BOT2 Трафик на C&C сервера БЛОКИРУЕТСЯ3 ОСТАНАВЛИВАЕТСЯ подозрительный процесс либо БЛОКИРУЕТСЯ компьютер целиком4
- 27. ©2016 Check Point Software Technologies Ltd. 27 SandBlast Agent – Расследование инцидентов [Confidential] For designated groups and individuals АВТОМАТИЧЕСКИЙ сбор и анализ данных об инциденте ФОРМИРУЕТСЯ АВТОМАТИЧЕСКИ ПОНЯТНЫЕ ИНСТРУКЦИИ Только то, что необходимо Развернутый отчет об атаке Анализ логов вручную не требуется Инициируется от AV, AB или по команде
- 28. ©2016 Check Point Software Technologies Ltd. 28 Сбор данных и формирование отчета [Confidential] For designated groups and individuals ДАННЫЕ о системе собираются постоянно от многих источников1ОТЧЕТ формируется автоматически по срабатыванию локального или внешнего триггера 2 ПОДРОБНЫЙ отчет формируется на SmartEvent4Processes Registry Files Network Сырые данные анализируются с помощью сложных алгоритмов3
- 29. ©2016 Check Point Software Technologies Ltd. 29 Триггер расследования Идентификация процесса, который запрашивает соединение с C&C сервером Начало атаки Использование браузера Chrome Триггеры атаки Автоматическое обратное отслеживание атаки Загруженный вредонос Процесс носитель вируса загружает и устанавливает вредоносное ПО Эксплойт Процесс-носитель вируса Активация Постоянные задачи запускаются после старта системы Атака отслеживается даже после перезагрузки Выполнение Вредонос записывается на запуск после перезагрузки системы [Restricted] ONLY for designated groups and individuals Кража данных Вредонос читает конфиденциаль- ные данные
- 30. ©2016 Check Point Software Technologies Ltd. 30 Интеграция и мониторинг Общие политики Настраиваемый Dashboard Одна система – единое управление Удобная настройка, полная интеграция, абсолютная видимость
- 31. ©2016 Check Point Software Technologies Ltd. 31 СПАСИБО!
Editor's Notes
- Brian Dye, Symantec's senior vice president for information security, said in interview to WSJ.
- The malware hides it self in legit sites for sharing photos Real pictures. Mean malware. The images were legally put on a legit server in Australia
- Мы делим угрозы на 2 типа: известные и неизвестные вредоносные программы. Традиционные меры безопасности идентифицируют известных вредоносных программ с помощью сигнатур, IP-адресов и URL-адресов. Теперь мы видим большой объем новых неизвестных вредоносных программ, которые мы не можем обнаружить с помощью традиционных технологий. Мы называем их сложными постоянными угрозами или целевыми атаками (Advanced Persistent Threats или АPT.) Мы наблюдаем резкое увеличение APT по 2 причинам. Во-первых, злоумышленники тратят больше времени на поиск уязвимостей в новых системах. Во-вторых, кто-то создает простые приложения, которые могут конвертировать любые известные вредоносные программы в неизвестное вредоносное ПО, изменяя несколько характеристик. Обычная система безопасности не распознает измененное вредоносное программное обеспечение. Как вы обнаружите, если у вас APT в вашей сети?
- Let’s take a deeper look at the “CPU-level detection”. The first step a hacker must take is to find a vulnerability – a weakness in some piece of software, maybe the browser, or in Java, or maybe Windows. This lets them inject their exploit code into memory… bypassing security controls. Once it is here, now they can run their shell code, essentially a small application that then retrieves the malware, either from the original file, or over the network. Now they can do what they really came for, whether that is exfiltrating data, logging keystrokes, or spreading additional malware behind your firewall… Now if we look at this chain and see what is going on. First of all, at the top of the chain, there are thousands of vulnerabilities out there, and hundreds of them are active and unpatched and at any point in time. Getting into computers and being able to talk to them is still not that difficult for hackers. At the end of the chain, there are millions and millions of different types of malware. Malware that might try to exfiltrate data from your network, or malware that might try to run a bot to spread malware throughout the network or initiate a command and control to other machines in the network. But getting from the top to the bottom has to go through the very narrow stream of exploits, of which there are only a handful. The way as attacker is going to try to evade detection in the sandbox is down at the bottom of that chain. As the malware starts up, it is going to look for that VM, or wait for user interaction, or its going to issue a delay for a week. But that only happens late in the stage. If we can come in at this exploit phase, where there are only a handful of techniques, we can be a step ahead of those malware variants. The fact that someone has created a new, slightly modified version of software doesn’t matter. We are going to be able to see it because it is using the same exploit. There are very few new exploits being written. When they appear our team quickly finds out about them through ThreatCloud and Incident Response, and we quickly build protections against them. It is also a step earlier in the attack cycle BEFORE the evasion code can run.
- Consider removing Intel screenshot
- SandBlast takes a new approach to this problem, providing a safe COPY of files until inspection is complete, allowing deployment in full blocking mode. Any threats identified will still generate an alert, but the malware was prevented from reaching the user. SandBlast calls this capability Threat Extraction. It creates a clean, reconstructed version of the document, using only safe components. Scripts and macros are removed, dynamic content is rendered as a static view. This is not intended to replace the original, but for many users, being able to view the content is all that is needed, and in a matter of minutes, the original can be retrieved, but only after it is deemed safe.
- With today’s sophisticated watering hole, spear phishing, and drive by exploits, malicious content downloaded from the web is of particular concern. For this content, we provide a unique proactive approach to securing content, Threat Extraction.
- We trace the whole path and can see everything along it. You see the investigation trigger (which was reaching out to C&C server) It traced back to the original point of infection and identified the origin of entry (someone browsing with chrome and specifically the website used) The system rebooted, and we can see what happens when the dropper installs malware, which was waiting for reboot Sees when system scheduled to execute post reboot and the entry into the task schedule You see when it tried to execute the malware, and see when it tries to activate and pick it up and block it In other words, you can see the whole path. This is a pretty simple case In a multi-stage attack this could happen over days or weeks and involve multiple pieces of malware executing and downloading
- We know security can be complex to implement. Our management system translates your security strategy into reality with unified policy and event management – known in the industry as the management gold standard. This management system provides end-to-end visibility that enables our customers to react quickly to any events affecting their network and also enables them to better prevent threats. Since our management is unified and both the visibility and policy components are linked together, an administrator can in a single step click on a security event and convert it into a new security rule. Also based on 3rd party analyst research, Check Point leads all other security vendors in needing the least amount of people to manage an extensive network of security gateways.