Безопасность новых информационных технологий

Безопасность новых
информационных
технологий
Алексей Лукацкий, бизнес-консультант по безопасности

© Cisco, 2010. Все права защищены. 1/38

Смена ожиданий бизнеса в отношении
информационной безопасности


Malware
Вирус Шпионское (трояны, Эксплоиты
ПО кейлоггеры,
скрипты)

Исследования Вредоносные Web и социальные Вредоносные
NSS LAB программы сети все чаще программы
показывают, что воруют уже не становятся используют для
даже лучшие ссылки на рассадником своих действий
антивирусы и посещаемые вредоносных неизвестные
Web-шлюзы не вами сайты, а программ, а также уязвимости (0-Day,
эффективны реквизиты инструментом 0-Hour)
против доступа к ним разведки
современных злоумышленников
угроз

Фокус на Передовые
Массовое Полимор- и тайные
конкретную
заражение физм средства
жертву
(APT)

Злоумышленников Современные угрозы Угрозы могут быть Угрозы становятся
не интересует постоянно меняются, разработаны модульными,
известность и чтобы средства специально под вас – самовосстанавлива-
слава – им важна защиты их не они учитывают вашу ющимися и
финансовая отследили – инфраструктуры и устойчивыми к
выгода от изменение встраиваются в нее, что отказам и
реализации угрозы поведения, адресов делает невозможным обнаружению
серверов управления применение
стандартных методов
анализа

Устойчивые, сложные, мутирующие

Каждый экземпляр атаки может отличаться от другого

Домены меняются ежедневно, даже ежечасно

Контент мутирует и маскируется под легальный трафик

80% спама исходит от инцифицированных клиентов

70% «зомби» используют динамические IP-адреса

Угрозы из легальных доменов растут на сотни процентов в год

Спам составляет более 180 миллиардов сообшений в день

© 2010 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 6

• 51% пользователей имеет обычно 1-4
пароля ко всем своим учетным записям


Malware

Нарушения
Утечки данных правил
использования
40% потерь
в производительности
в связи с использованием web для личных нужд во время работы

Риск нарушения законодательства
когда запрещенный контент загружается
пользователями


• Взломанные web-узлы отвечают за распространение более 87%
всех Web-угроз сегодня

• Более 79% web-узлов с вредоносным кодом легитимные**

• 9 из 10 web-узлов уязвимы к атакам**

• Cross-site Scripting (XSS) и SQL Injections лидируют в числе
разных методик взлома
-Cross-Site Scripting (7 их10 узлов)**

-SQL Injection (1 из 5)**

*Source: IronPort TOC
**Source: White праваSecurity, Website Sec Statistics Report 10/2007 & PPT 8/2008
© Cisco, 2010. Все
Hat защищены. 14/79

• Botnets настраиваются и внедряют malware в web-узлы с помощью SQL
Injections используя уязвимости в web-приложениях
• Хакері используют SQL Injections для вставки JavaScript iFrames, которые
перенаправляют пользователей на web-сайты, на которых хостится malware


Взломанные сайты
 Простое посещение сайта может
инфицировать компьютер пользователя
 Ответствены на 87% всех web-угроз*
 Категория: Новости

Социальная инженерия

DNS Poisoning  Актуальный контент,
содержащий общественный
интерес
 Социальная инженерия
заставляет пользователей
отключать защиту на
десктопе
 Категория: Правительство
© Cisco, 2010. Все права защищены. * Source: Cisco Threat Operations Center
16/79

• Ссылка размещается (или посылается от имени) на взломанной
учетной записи социальной сети

• Эта ссылка отсылает вас на сайт с «потрясным» видео, которое
просит установить вас последнюю версию Flash player или
отсутствующий кодек


Мотивация Известность Деньги

Метод Дерзко Незаметно

Фокус Все равно Мишень

Средства Вручную Автомат

Результат Подрыв Катастрофа

Тип Уникальный код Tool kit

Цель Инфраструктура Приложения

Агент Изнутри Третье лицо

Атаки первой Атаки второй
Разработчики волны Посредники Результат
волны
Инструменты Прямая атака Слава
атак от хакера
Атака на отдельные
системы и
приложения
Шпионаж
Вредоносное ПО
Создание
Заражение ботнетов DDoS
Вымогательство
Черви
Рассылка
Вирусы Спама Месть
Управление ботнетом:
Аренда, продажа Реклама
Трояны Фарминг,
Фишинг/ Сбор DNS Poisoning Мошеннические
информации продажи
Шпионское
ПО Кража
информации Накручивание
Продажа
информации кликов

Мошенничество

$$$ Финансовые потоки $$$


• Партнерская сеть по
продаже scareware
• Партнеры загружают
scareware на зараженные
компьютеры и получают
комиссию 60% c продаж
• Объем продаж за десять
дней $147K (154 825
установки и 2 772 продажи)
• $5M в год Статистика продаж Bakasoftware
за 10 дней
Источник: http://www.secureworks.com/research/threats/rogue-antivirus-part-2/?threat=rogue-antivirus-part-2

Web Reputation Filters
Scan each object, not just
the initial request

Web servers not affiliated
Client PC Trusted Web Site
with the trusted web site
(e.g. ad servers)

 Веб-страницы создаются из  Скомпрометированные узлы берут
объектов, которые находятся на вредоносное содержимое из
разных источниках внешних источников
 Объекты – это изображения,  Безопасность – это просмотр
html-код, JavaScript… каждого объекта в отдельности, а не
только первоначального запроса.

1. Адресов в браузере: 1

2. HTTP запросов: 162

3. Изображений: 66 с 18
разных доменов

4. Скриптов: 87 с 7 доменов

5. Cookie: 118 с 15 доменов

6. Flash объектов: 8 c 4
доменов

• Эффективна ли защита
рабочих станций
основанная только на
антивирусном ПО?
• Способен ли МСЭ
проверять
содержимое?
• Как технические
средства помогут
бороться с атаками с
применением
социальной
инженерии?


1. Непрерывно повышайте свою
осведомленность
2. Не гонитесь за новинками –
решите «старые» задачи
3. Обучите персонал вопросам
ИБ — и вовлеките их в сам
процесс
4. Помните, что безопасность
сегодня не ограничивается
одним периметром / границей
5. Безопасность – это часть
вашего бизнеса


Социальные
Аутсорсинг Виртуализация Облака Мобильность Web 2.0
сети


становятся причинами появления новых угроз
7 млрд новых беспроводных ―Энтузиасты совместной 40% заказчиков планируют
Новые цели атак: виртуальные
внедрить
устройств к 2015 г. работы‖ в среднем
Украденный ноутбук больницы: Skype = возможность вторжения машины и гипервизор
используют 22 средства для распределенные сетевые
14 000 историй болезни
50% предприятий-участников общения с коллегами
Системы IM могут обходить сервисы («облака»)
Более 400 угроз Отсутствие контроля над
опроса разрешают
для мобильных устройств, 45%механизмы защиты
сотрудников нового внутренней виртуальной сетью
использовать–личные К 2013 г. объем рынка «облачных
к концу года до 1000 поколения пользуются ведет к снижению эффективности
устройства для работы вычислений» составит 44,2 млрд
социальными сетями
© Cisco, 2010. Все права защищены. политик безопасности
долларов США
38/79

66% 45% 59% 45% 57%
Согласятся на Готовы Хотят ИТ- ИТ-специалистов
снижение поработать на использовать специалистов утверждают, что
компенсации 2-3 часа в день на работе не готовы основной задачей
(10%), если больше, если личные обеспечить при повышении
смогут работать смогут сделать устройства бóльшую мобильности
из любой точки это удаленно мобильность сотрудников
мира сотрудников является
обеспечение
безопасности


Software
Google Apps,
-as-a-
Salesforce.com
Service

MS Azure, Platform
Google App -as-a-
Engine Service

Infrastru
cture-as- Amazon EC2, co-
a- location
Service


Почему вы не думаете об аутсорсинге?

Другое 19
Производительность 16
Слабая кастомизация 18
Слабый каналы связи 18
Зависимость от текущего… 19
Сложное ценообразование 20
Вопросы интеграции 23
Нет нужных приложений 23
Безопасность и privacy 30
Вопросы цены 36
0 5 10 15 20 25 30 35 40
Источник: Forrester Research


21% 64% 47% 20% 55%
Людей Людей не думая Пользователей Людей уже Людей были
принимают кликают по Интернет уже сталкивалось с подменены с
«приглашения ссылкам, становились кражей целью получения
дружбы» от присылаемым жертвами идентификаци персональных
людей, которых «друзьями» заражений онных данных данных
они не знают вредоносными
программами


Внешние Внутренние Нормативные

• Доступность и • Проприетарные
B • Требования ФСТЭК
надежность Smart Grid протоколы и закрытые для КСИИ
разработки
• АСУ ТП • ФЗ-152 о ПДн
• Длительный срок
• Управление эксплуатации • NERC
энергопотреблением
• Проектирование без • ISA SP99 и другие
• ЦОД вопросов ИБ

• Home Energy


«Заплаточный» подход к защите – нередко
в архитектуре безопасности используются
решения 20-30 поставщиков

Непонимание смены ландшафта угроз

Концентрация на требованиях регулятора в
ущерб реальной безопасности

Неучет и забывчивость в отношении новых
технологий и потребностей бизнеса


Противодействие Соответствие
вредоносным нормативным
воздействиям требованиям

Мониторинг
Защита пользователей,
ресурсов устройств,
операций
Поддержание
Экономическая
работы критически
эффективность
важных сервисов

ТРЕБУЕТСЯ АРХИТЕКТУРНЫЙ ПОДХОД


Глобальный анализ угроз: SIO

Безопасность Контроль Защищенная Безопасность
сети доступа мобильность контента

• МСЭ • Управление • VPN • Защита
• IPS политиками • Мобильный электронной почты
• VPN • 802.1x защищенный клиент • Обеспечение
• Управление • NAC • IPS для безопасности
безопасностью • Оценка состояния беспроводных сетей web-трафика
• Виртуальные • Профилирование • Удаленный сотрудник • «Облачные»
решения устройств • Виртуальный офис сервисы
• Модули • Сервисы • Защита мобильности обеспечения
обеспечения ИБ идентификации безопасности
• Конфиденциальность контента

Защищенные «облака» и виртуализация

Глобальные сложные угрозы

Поддельные сайты «Сбор средств
KOOBFACE
Microsoft Update на восстановление Гаити»

РИСК
РИСК: ВЫСОКИЙ РИСК: ВЫСОКИЙ РИСК: СРЕДНИЙ

ПРОБЛЕМА

Высокая сложность Необнаруженное Надежность защиты
Многовекторные атаки – вредоносное ПО ограничивается
ни одна не похожа на Отключается системы ИБ, сигнатурными методами
другую крадет данные, открывает и поиском по локальным
© Cisco, 2010. Все права защищены. удаленный доступ к системе данным 48/79

Глобальный мониторинг
SIO ГЛОБАЛЬНЫЙ ЦЕНТР Исследователи, аналитики, разработчики

ISP, партнеры,
сенсоры
Исследователи,
Бюллетени
аналитики,
об устранении
разработчики
угроз

IPS ASA ESA WSA ESA
Cisco AnyConnect

РЕШЕНИЕ CISCO

Крупнейшая система Более 700K сенсоров 5 млрд Анализ репутации,
анализа угроз – защита от Web-запросов/день спама, вредоносного ПО
многовекторных атак 35% мирового Email-трафика и категорий URL,
классификация
Телеметрия угроз оконечным приложений
© Cisco, 2010. Все права защищены. устройствам 49/79

Внешние и внутренние
угрозы
Внутренние угрозы Внешние угрозы

Ботнеты ВПО

ПРОБЛЕМА

Масштабирование Отсутствие глобальной Слабая координация
производительности и информации об угрозах и действий систем
своевременное контекстной информации обеспечения ИБ и
распространение для обеспечения надежной сетевого оборудования
обновлений
© Cisco, 2010. Все права защищены. защиты 50/79

Защита от угроз ГДЕ

ЧТО КОГДА

КТО КАК
Политика
с учетом
контекста

IPS ASA

WSA ESA

СЕТЬ


Полномасштабное Политика с учетом Простота
решение: ASA, IPS, контекста точнее развертывания и
«облачные» сервисы соответствует бизнес- обеспечения защиты
защиты web-трафика и потребностям в сфере ИБ распределенной среды
электронной почты

462 млн

ПРОБЛЕМА

Мобильным сотрудникам На разнообразных Кража/утеря устройств –
требуется доступ к пользовательских высочайший риск утери
сетевым и «облачным» устройствах используются корпоративных данных и
сервисам как пользовательские, так и нарушения нормативных
© Cisco, 2010. Все права защищены.
корпоративные профили требований 52/79

Поддержка любых пользователей и любых устройств

Cisco AnyConnect

Коммутаторы
доступа
ISR ASA WSA

Внутренние, «облачные», социальные приложения


Единственный в отрасли Поддержка широкого спектра Защищенные подключения
унифицированный клиент; устройств: Windows XP/7,MAC Сквозное шифрование
постоянная защита OSX, Linux, Apple iOS (iPhone и (MACsec)
iPad), Nokia Symbian, Webos,
Windows Mobile, Android* (скоро) Использование ScanSafe

Доступ с любого устройства

КАФЕ
ОФИС

ПРОБЛЕМА

Учет результатов Обеспечение Защита
идентификации и ролевая выполнения политик: от конфиденциальности
модель контроля доступа пользовательских в рамках всей сети
Гостевой доступ устройств до ЦОД

Контроль доступа ГДЕ

ЧТО КОГДА

КТО КАК
? ? ?

Виртуальные
машины в ЦОД

VPN MACSec

Решения на основании состояния
1. Разрешение/блок в соответствии с политикой СТОП ЦОД
2. Авторизованным устройствам назначаются
метки политики ОК
3. Теги политики учитываются при работе в сети


Согласованная политика Распространение сведений Метки групп безопасности
на основании результатов о политиках и позволяют обеспечить
идентификации на всех интеллектуальных масштабируемое
уровня – от устройства до механизмов по сети применение политик
ЦОД – в соответствии с с учетом контекста
бизнес-потребностями

Центральный
SaaS
офис
Филиал
Интернет

ЦОД

Удаленный
сотрудник
ПРОБЛЕМА

Использование SaaS-решений и
Ограниченность числа «облачных» систем приводит к Нормативные
ИТ-специалистов и раздельному туннелированию требования
специалистов по ИБ в трафика — новые проблемы
филиале, рост затрат безопасности

Центральный
офис

Все функции для защиты филиала

$ Лучшие показатели ROI
(реплицируемые)
+ Безопасность + оптимизация
работы приложений

ISR G2


VPN (IPSEc, GET VPN, Лучшие показатели ROI Оптимизация работы
DMVPN, SSL), МСЭ, IPS, (простота, согласованность, приложений в WAN
клиент ScanSafe интеграция), снижение затрат и WLAN/WAN
повышение производительности Ethernet-коммутатор
при раздельном туннелировании
Интегрированный сервер
57/79

ПРОБЛЕМА

Новые проблемы Совершенно новые Высокие требования
безопасности, технологии, отсутствие к масштабированию
отсутствие систем согласованности
мониторинга «облака»

ЗАЩИЩЕННЫЕ
ГИБРИДНЫЕ «ОБЛАКА»

ЗАЩИЩЕННЫЕ
ЧАСТНЫЕ «ОБЛАКА» ЗАЩИЩЕННЫЕ
ОБЩЕДОСТУПНЫЕ «ОБЛАКА»

Cisco Virtual Security Gateway

Nexus 1000v

Cisco ASA

Сенсоры IPS


Высокопроизводи- Унификация систем защиты Распространение политик
тельные устройства физических и виртуальных Безопасная работа с приложениями
обеспечения ИБ сред; тонки настройки Поддержка Vmotion
для ЦОД основанной на зонах политики Защищенная сегментация VM
с учетом контекста Защищенная сегментация «облака»
59/79

Необходимо защитить
Все устройства: планшетные
устройства, смартфоны
Новые системы для
совместной работы и
платформы социальных
сетей
Данные, передающиеся в
«облако»
Среды ЦОД и виртуализации
настольных систем

Требуется
НОВЫЙ
подход к
обеспечению
безопасности


Большое количество регуляторов

Легитимный ввоз криптографии в соответствие
с правилами Таможенного союза

Использование легитимной криптографии

Требования сертификации

Собственные отраслевые стандарты

Ориентация на продукты отечественного
производства


Газпром- ФСТЭК РЖД
серт

ФСО ФСБ

PCI
ЦБ ИБ Council

Минком-
СВР
связь

Рос-
Энерго-
МО стандарт
серт


ISO 15408:1999 («Общие критерии») в России
(ГОСТ Р ИСО/МЭК 15408) так и не заработал

Перевод СоДИТ ISO 15408:2009 – судьба
неизвестна ;-(

ПП-608 разрешает признание западных
сертификатов – не работает

ФЗ «О техническом регулировании» разрешает
оценку по западным стандартам – не работает

ПП-455 обязывает ориентироваться на
международные нормы – не работает


КЦ РГ
ПК127 ПК3 ТК362
АРБ ЦБ
«Безопасность «Защита «Защита Консультации Разработка
ИТ» информации в информации» банков по рекомендаций по
(представитель кредитно- при ФСТЭК вопросам ПДн ПДн и СТО БР
ISO SC27 в финансовых ИББС v4
России) учреждениях»


Требования Требования закрыты (часто секретны). Даже лицензиаты
открыты зачастую не имеют их, оперируя выписками из выписок

ФСТЭК ФСБ МО СВР

Все, кроме СКЗИ Все для нужд Тайна, покрытая
криптографии МСЭ оборонного ведомства мраком
Антивирусы
IDS
BIOS
Сетевое
оборудование

А еще есть 3 негосударственных системы сертификации СЗИ – ГАЗПРОМСЕРТ,
«АйТиСертифика» (ЕВРААС) и Ecomex

Число нормативных актов с требованиями
сертификации по требованиям безопасности
8
7
6
5
4
3
2
1
0

* - для 2011 – предварительная оценка проектов новых нормативных актов (ФЗ ―О национальной
платежной системе‖, ФЗ ―О служебной тайне‖, новые приказы ФСТЭК/ФСБ и т.д.)

68

500+ ФСБ НДВ 28 96
Сертификатов Сертифицировала Отсутствуют в Линеек Продуктовых
ФСТЭК на решения Cisco ряде продукции линеек Cisco
продукцию Cisco (совместно с С- продуктовых Cisco прошли сертифицированы
Терра СиЭсПи) линеек Cisco сертификацию во ФСТЭК
по схеме
«серийное
производство»


Единичный
Партия Серия
экземпляр

Основная схема для Основная схема для Основная схема для
западных вендоров западных вендоров российских вендоров

Оценивается конкретный Оценивается Оценивается образец +
экземпляр (образец) репрезентативная выборка инспекционный контроль за
образцов стабильностью характеристик
Число экземпляров – 1-2 сертифицированной
Число экземпляров – 50- продукции
200
Число экземпляров -
неограничено

Производство за Россия
пределами России
ПАРТНЕРЫ Оборудование без
СISCO сертификации по
требованиям
ФСТЭК
Партнер #1
Дистрибуторы

Cisco Systems, Партнер #2
Inc
Партнер #3 Оборудование с
сертификатами
ФСТЭК

Партнер #N

Kraftway Corporation PLC
производство по
&
AMT требованиям ФСТЭК

сертификационный
пакет ФСТЭК
ФСТЭК

Ввоз и Разделение
Нотификации vs.
использование ввозимой
ввоза по лицензии
шифровальных криптографии по
Минпромторга
средств – это два длинам ключей и
(после получения
разных сферам применения
разрешения ФСБ)
законодательства (с 01.01.2010)

Cisco не только ввозит свое
оборудование легально, но и
планирует запустить производство
оборудования в России


Позиция Встраивания Важно знать, что
регулятора (ФСБ) – криптоядра написано в
использование достаточно для формуляре на
VPN-решений на прикладных систем СКЗИ – часто явно
базе и недостаточно для требуется
отечественных VPN-продуктов сертификация в
криптоалгоритмов (разъяснение ФСБ) ФСБ

Cisco и С-Терра СиЭсПи имеют
сертификат ФСБ на целостное
решение для Cisco ISR G2 и
Cisco UCS C-200


• Компаниями Cisco и С-Терра СиЭсПи разработаны VPN-
решения, поддерживающие российские криптоалгоритмы на
базе оборудования Cisco
• Сертификат ФСБ СФ/114-1622, 114-1624, 124-1623, 124-1625,
124-1626 от 28 февраля 2011 года
Сертификат по классу КС2 на оба решения

Решение для удаленных офисов
• На базе модуля для ISR G1 и G2
(2800/2900/3800/3900)

Решение для ЦОД и штаб-квартир
• На базе UCS C-200

Безопасность в России и во всем мире –
две большие разницы

ИТ-безопасность и информационная
безопасность – не одно и тоже

Нужно осознавать все риски

Необходимо искать компромисс

Не закрывайтесь – контактируйте с
CISO, регуляторами, ассоциациями…


Антивирусный модуль от Лаборатории Касперского в
1 Cisco ISR G2

Интеграция с MaxPatrol от Positive Technologies
2

3 Интеграция с Traffic Monitor от Infowatch

4 Интеграция с Дозор-Джет от Инфосистемы Джет

Антивирусный движок от Лаборатории Касперского в
5 сервисе облачной безопасности ScanSafe

6 Интеграция с VPN-решениями С-Терра СиЭсПи

7 Поддержка Dr.Web, Лаборатории Касперского в
решениях Cisco NAC Appliance


1 Лидер мирового рынка сетевой безопасности. Обширное портфолио продуктов и
услуг. Тесная интеграция с сетевой инфраструктурой. Архитектурный подход

2 Поддержка и защита самых современных ИТ. Контроль качества. Исследования в
области ИБ. Обучение и сертификация специалистов. Собственное издательство

3 Сертификация на соответствие российским требованиям по безопасности.
Сертифицированная криптография. Сертификация производства.

Отраслевая экспертиза. Участие в разработке стандартов ИТ и ИБ, а также в
4 отраслевых группах и комитетах. Участие в экспертизе НПА по ИБ

Финансирование проектов по ИБ. Легитимный ввоз оборудования. Круглосуточная
5 поддержка на русском языке. Склады запчастей по всей России. 1000+ партнеров


http://www.facebook.com/CiscoRu
http://twitter.com/CiscoRussia
http://www.youtube.com/CiscoRussiaMedia
http://www.flickr.com/photos/CiscoRussia
http://vkontakte.ru/Cisco


Спасибо
за внимание!

security-request@cisco.com

Безопасность новых информационных технологий

More Related Content

What's hot

Similar to Безопасность новых информационных технологий

More from Cisco Russia

Безопасность новых информационных технологий