Network Security Treasures - Profiling, Application Visibility and Control, OpenAppID, Indicators of Compromise, OpenIoC.

1. Network Security Treasures
Gaweł Mikołajczyk gmikolaj@cisco.com
Security B-Sides, 11 października 2014, Warszawa

2. Cisco Public
2
© 2014 Cisco and/or its affiliates. All rights reserved. http://www.slideshare.net/gmikolaj/security-bsides-warsaw-2012-bezpieczenstwo-ipv6-gawel-mikolajczyk
• Bezpieczeństwo IPv6
• Rekonesans IPv6
• IPv6 i IPSec
• Address Glean
• IPv6 Source Guard
• IPv6 RA Guard
• SLAAC
• CGA
• IPv6 DAD
• SeND
• IPv6 IPS
Październik 2012

3. Cisco Public
3
© 2014 Cisco and/or its affiliates. All rights reserved. http://www.slideshare.net/gmikolaj/security-bsides-warsaw-2013-masywna-telemetria-netflow-jest-masywna- gawel-mikolajczyk
• KillChain
• Widoczność w sieci
• Netflowv5/v9, IPFIX
• Sieciowa Analiza Śledcza
• Kolekcja flowów
• Flowstitchingz NAT/PAT
• Deduplikacjadanych
• Cisco CSIRT
• Identyfikacja rekonesansu
• Propagacja malware
• Wykrywanie C&C
• Detekcja wycieku danych
• Wizualizacja (D)DoS
Październik 2013

4. Cisco Public
4
© 2014 Cisco and/or its affiliates. All rights reserved.
Ataki -od cebuli do karczocha
Hasła
Bazy danych
Buffer Overflows
Urządzenia sieciowe
Aplikacje Webowe
Ataki Client-side
SSL Heartbleed
BashShellshock
SSL Heartbleed
Urządzenia mobilne

5. Cisco Public
5
© 2014 Cisco and/or its affiliates. All rights reserved.
Dlaczego nie cebula?
•Typowe podejście „cebulowe” działało od dawna i dzisiaj również ma pewne zastosowanie
•Ataki były od zawsze skoncentrowane na danych
•Atakujący „jeżdżą” po liściach karczocha
•Brzeg sieci jest rozmyty,SaaS, usługi w Chmurze –robi się coraz trudniej
Passwords
Databases
Buffer Overflows
Network Devices
Web Applications
Client-side Attacks
Bezpieczeństwo buduje się z warstw, które nie zawsze się nakładają!

6. Cisco Public
6
© 2014 Cisco and/or its affiliates. All rights reserved. Widoczność i kontekst
Firewall
NGFW
NAC + usługi Identity
VPN
UTM
NGIPS
Web Security
Email Security
Advanced Malware Protection
Behawioralna analiza sieciowa
Z portfolio zasobnego bezpiecznikaPRZED
Kontrola
WymuszenieWzmocnieniePO
Określenie zakresu
RemediacjaCykl ataku/obrony
Wykrycie
Blokowanie
ObronaW TRAKCIE
IncidentResponse

7. Cisco Public
7
© 2014 Cisco and/or its affiliates. All rights reserved.

8. Cisco Public
8
© 2014 Cisco and/or its affiliates. All rights reserved.
Proporcja users/devices się zmienia
Sytuacja wymyka się spod kontroli!

9. Cisco Public
9
© 2014 Cisco and/or its affiliates. All rights reserved.
Przykładowe atrybuty kolekcjonowanie przez profiler
RADIUS
DHCP
IP
SNMP
NMAP
LLDP
CDP
MAC
NetFlow
Niektóre atrybuty są ciekawsze od innych

10. Cisco Public
10
© 2014 Cisco and/or its affiliates. All rights reserved.
Polityka profilowania urządzeń
•Zestaw warunków dla identyfikacji urządzenia
Czy MAC Address od Apple
DHCP:host-nameCONTAINS iPad
IP:User-AgentCONTAINS iPad
Biblioteka profilera
Przypisz ten MAC Address doGrupy“iPad”
Jestem dość pewien, że to iPad

11. Cisco Public
11
© 2014 Cisco and/or its affiliates. All rights reserved.
Biblioteka znanych urządzeń

12. Cisco Public
12
© 2014 Cisco and/or its affiliates. All rights reserved.
HTTP Probe–pozyskujemy informacje z ruchu web
Przykładowa topologia dla profilowania urządzeń końcowych
12

13. Cisco Public
13
© 2014 Cisco and/or its affiliates. All rights reserved.

14. Cisco Public
14
© 2014 Cisco and/or its affiliates. All rights reserved.
Snort2.9.7RC –8 października 2014!

15. Cisco Public
15
© 2014 Cisco and/or its affiliates. All rights reserved.
Snort® jest systemem open source IDS/IPS
Silnik Snort
Język reguł Snort
Stworzony przez Marty’egoRoeschaw 1998, założyciela Sourcefire
7 października 2013, Cisco dokonało akwizycji Sourcefire
Snortłączy w sobie inspekcję sygnaturową, protokołów i anomalii
Najpopularniejszy silnik IPS/IDS na świecie
400,000 zarejestrowanych użytkowników na http://snort.org/
De facto standard branży IPS
Krótka historia Snort

16. © 2014 Cisco and/or its affiliates. All rights reserved. Cisco Public 16
 Dekoder pakietów
 Pakiety są dekodowane z użyciem Data
Acquisition library (DAQ) m.in. afpacket
 Dekodowanie protokołów L2, L3, L4
 Preprocesory
 Analiza, modyfikacja, normalizacja
pakietów
 Silnik detekcji
 Reguły Snort dla tworzenia sygnatur –
wykrywanie ataków
 Modularność
Architektura Snort
network
Packet Decoder
Alert and log files
Preprocessors
Detection Engine
Logging and Alerting
System
----------------------
Output Modules
DAQ libraries

17. Cisco Public
17
© 2014 Cisco and/or its affiliates. All rights reserved.
AppIDjest preprocesorem Snort
Open Source Application VisibilityAnd Control (AVC)
Identyfikuje protokół aplikacyjny i generuje atrybuty appid
Obecnie 3800+ definicji protokołów i aplikacji sieciowych
Wykorzystuje preprocesor HTTP dla ekstrakcji nagłówków
Generuje statystyki aplikacji w formacie Uniform2
Plik statystyk można czytać ( u2openappid|u2spewfoo)
Można forwardowaćdo serwera Syslog(u2streamer)
Raporty i nazwy aplikacji w zdarzeniach IPS
Blokowanie aplikacji
Kreacja własnych detektorów aplikacji z użyciem języka Lua
OpenAppID–duża innowacja w Snort

18. Cisco Public
18
© 2014 Cisco and/or its affiliates. All rights reserved.
Next-GenerationFW (NFGW) = FW + AVC + IPS
Budujemy Next-GenerationFirewall z użyciem OpenAppID
https://www.youtube.com/watch?v=xXAYEimXp8A

19. Cisco Public
19
© 2014 Cisco and/or its affiliates. All rights reserved.

20. Cisco Public
20
© 2014 Cisco and/or its affiliates. All rights reserved.
Mam informacje z NBAR@
Potrzebuję tożsamości
Mam logi z firewalla!
Potrzebuję tożsamości
Mam zdarzenia bezpieczeństwa!
Potrzebuję reputacji!
Mam netflow!
Potrzebuję uprawnień
Mam informacje o reputacji!
Potrzebuję info o zagrożeniach
Mam dane MDM!
Potrzebuję lokalizacji
Mam informacje o aplikacjach!
Porzebuję kondycji bezpieczeństwa
Mam tożsamość i rozpoznane urządzenie Potrzebuję informacji o podatnościach
Znam aplikacje
Potrzebuję lokalizację i grupę
Mam info o zagrożeniach!
Potrzebuję reputacji
Znam lokalizację!
Potrzebuję tożsamości
SIO
WłasnościoweAPI nie są rozwiązaniemWspół- dzieleniedanych

21. Cisco Public
21
© 2014 Cisco and/or its affiliates. All rights reserved.
SIO
Pojedynczny i skalowalny framework
pxGridDzieleniekontekstu

22. © 2014 Cisco and/or its affiliates. All rights reserved. Cisco Public 22
Architektura pxGrid
Grid Publish
SF-IPS*
WSA*
Cyber
Threat
Defense*
Grid
Subscribe
ISE
Uwierzytelnienie certyfikatem Uwierzytelnienie certyfikatem
* Na roadmapie

23. Cisco Public
23
© 2014 Cisco and/or its affiliates. All rights reserved.
pxGriddla ochrony przed zagrożeniami z SIEM/TD
Przypadek użycia: dynamiczna reautoryzacjaużytkownika generującego zagrożenie
Platforma
SIEM/TD
Policy: Użytkownik generuje ataki,
infekcja malware, DoS, flood, inne
niepożądane aktywności
Context: Współdzielenie z platformąSIEM
USER : DEVICE TYPE : CONN STATUS
pxGrid
Controller
Kwarantanna/Remediacja
Ruchu użytkownika

24. Cisco Public
24
© 2014 Cisco and/or its affiliates. All rights reserved.
Implementacja –aplikacja pxLog

25. Cisco Public
25
© 2014 Cisco and/or its affiliates. All rights reserved.
Aplikacja pxLog–Konfiguracja
Sep 8 10:42:13 snort snort[9690]: [1:100124:0] ALERT {ICMP} 10.221.0.240 -> 10.222.0.61

26. Cisco Public
26
© 2014 Cisco and/or its affiliates. All rights reserved.
pxLog–reguły autoryzacji

27. Cisco Public
27
© 2014 Cisco and/or its affiliates. All rights reserved.
pxLog–Integracja z systemami IPS
•Cisco ASA inspection
•Aug12 2014 14:36:20: %ASA-5-415006: HTTP -matched Class 23:MS13-025_class in policy-map MS_Mar_2013_policy, URI matched -Dropping connection from inside:192.168.60.88/2135 tooutside:192.0.2.63/80
•Cisco SourcefireNGIPS
•Aug28 19:46:19 IDS01 SFIMS: [CA IDS][Policy1][119:15:1] http_inspect: OVERSIZE REQUEST-URI DIRECTORY [Classification: Potentially Bad Traffic] [Priority: 2] {TCP}10.12.253.47:55504 -> 10.15.224.60:80
•JuniperJunOS
•Jul 16 10:09:39 JuniperJunOS: asp[8265]: ASP_IDS_TCP_SYN_ATTACK: asp3: proto6 (TCP), ge-0/0/1.0 10.60.0.123:2280 -> 192.168.1.12:80, TCP SYN floodattack
•Linux iptables
•Jun15 23:37:33 netfilterkernel: InboundIN=loOUT= MAC=00:13:d3:38:b6:e4:00:01:5c:22:9b:c2:08:00 src=10.0.0.1DST=10.0.0.100 LEN=60 TOS=0x10 PREC=0x00 TTL=64 ID=47312 DF PROTO=TCP SPT=40945 DPT=3003 WINDOW=32767 RES=0x00 SYN URGP=0
•Freebsdipfw
•Sep 7 15:03:14 delta ipfw: 11400 DenyUDP 10.61.216.5010.81.199.2 in via fxp0 (frag52639:519@1480)

28. Cisco Public
28
© 2014 Cisco and/or its affiliates. All rights reserved.
pxLog–sesja 802.1X

29. Cisco Public
29
© 2014 Cisco and/or its affiliates. All rights reserved.
pxLog–atak i kwarantanna
Regułka snort: alert icmpany any-> any any(itype:8; ttl: 6; sid:100124)
Log odebrany przez pxLog:
Sep 8 10:42:13 snort snort[9690]: [1:100124:0] ALERT {ICMP} 10.221.0.240 -> 10.222.0.61

30. Cisco Public
30
© 2014 Cisco and/or its affiliates. All rights reserved.
pxLog–atak i kwarantanna po stronie serwera RADIUS

31. Cisco Public
31
© 2014 Cisco and/or its affiliates. All rights reserved.
pxLog–atak i kwarantanna –przełącznik

32. Cisco Public
32
© 2014 Cisco and/or its affiliates. All rights reserved.

33. Cisco Public
33
© 2014 Cisco and/or its affiliates. All rights reserved.
„w analizie śledczej –IoCjest artefaktem, którego detekcja na poziomie sieci lub systemu operacyjnego, daje nam wysokie prawdopodobieństwo, że nastąpiła kompromitacja”
Indicatorsof Compromise–czym są?
http://en.wikipedia.org/wiki/Indicator_of_compromise
IPS Events
Malware Backdoors
CnCConnections
Exploit Kits
Admin Privilege Esclations
Web App Attacks
SI Events
Connections to Known CnCIPs
Malware Events
Malware Detections
Malware Executions
Office/PDF/Java Compromises
Dropper Infections

34. Cisco Public
34
© 2014 Cisco and/or its affiliates. All rights reserved.
Cykl życiowy IR z użyciem IoC

35. Cisco Public
35
© 2014 Cisco and/or its affiliates. All rights reserved.
Projekt open sourceMandiant
Pozwala Analitykom IncidentResponsekreować własne detekcje
Składnia XML, ponad 500 atrybutów do dyspozycji
http://openioc.org/terms/Current.iocterms
Definicja IoCto wyrażenie logiczne z użyciem atrybutów np.:
(klucz w rejestrze AND nazwa pliku) OR(zdarzenie w logach)
Testowe IoCsdla detekcji Stuxnet, Zeus, Duqu
Wymiana wiedzy w społecznościach, np. https://www.iocbucket.com/
Wprowadzenie do OpenIoC
(File MD5 isA35930B93D3057493EF3567395BC3C0F) ||
(Network DNS containsmybaddomain.net) ||
((File Nameisasdf.exe) &&
((File Size is 35343) || (File Compile Time is 2008-09-29T00:24:05Z))) ||
((Service Name is svc24) && (Service DLL contains svc24_log.dll))

36. Cisco Public
36
© 2014 Cisco and/or its affiliates. All rights reserved.
Zastosowanie IoC–zdarzenia w sieci

37. Cisco Public
37
© 2014 Cisco and/or its affiliates. All rights reserved.
Zastosowanie IoC–zdarzenia na hostach
Chmura FireAMP
Konektory FireAMPdla Windows
1
4
3
2
Zdarzenia w konsoli GUI
IoC
•własne
•wspólne

38. Dziękuję.
gmikolaj@cisco.com