Download as PDF, PPTX
Uploaded byAleksey Lukatskiy
Глобальные системы предотвращения атак: международный опыт
Документ описывает международный опыт создания глобальных систем защиты информации от компьютерных атак, включая задачи по прогнозированию и обмену информацией. Рассматриваются проблемы, связанные с анализом данных, необходимостью автоматизации и недостаточной координацией между различными организациями. Особое внимание уделяется рекомендациям по улучшению взаимодействия и визуализации данных для повышения уровня информационной безопасности.
More Related Content
Similar to Глобальные системы предотвращения атак: международный опыт
Глобальные системы предотвращения атак: международный опыт
- 1. Международный опыт построения глобальныхсистем обнаружения и предупреждения компьютерных атак Лукацкий Алексей, консультант по безопасности
- 2. Основные задачи поУказу Президента №31с 1. Прогнозирование ситуации в области обеспечения информационной безопасности 2. Обеспечение взаимодействия владельцев информационных ресурсов РФ, операторов связи, иных субъектов, осуществляющих лицензируемую деятельность в области защиты информации, при решении задач, касающихся обнаружения, предупреждения и ликвидации последствий компьютерных атак 3. Осуществление контроля степени защищенности критической информационной инфраструктуры РФ от компьютерных атак 4. Установление причин компьютерных инцидентов, связанных с функционированием информационных ресурсов РФ 5. Обмен информацией между ФОИВ и уполномоченными органами иностранных государств (международными организациями) о компьютерных инцидентах
- 3. 3 уровня реализациисистемы Мониторинг атак и уязвимостей Рекомендации по Прогнозирование отражению атак инцидентов Автоматическое Предвосхищение реагирование инцидентов
- 4. Ключевые задачи приреализации системы • Визуализировать атаки, инциденты и уровень защищенности – По различным срезам (география, ФОИВ, время, критичность…) • Анализировать и коррелировать данные – Извлекать уроки – Прогнозировать инциденты и изменение уровня защищенности • Собирать данные – Из своих источников – Из разрозненных security-источников – Big Data • Реагировать – Подготовить рекомендации по реагированию – Автоматически отражать атаки и устранять уязвимости • Обмениваться информацией
- 5.
- 6. Облачный SIEM Curois:глубокая детализация
- 7. ScienceLogic Dashboard: взглядс высоты птичьего полета
- 8. Seculert Dashboard: взглядс разных точек зрения
- 9. QualysGuard Executive Dashboard:анализ уровня защищенности
- 10. ISACA Compliance Dashboard:уровень соответствия НПА
- 11. Оценка уровня соответствияPCI DSS с помощью Splunk
- 12. Визуализация слабых меств глобальном обеспечении ИБ Уровень Уровень зрелости соответствия процессов ИБ требованиям ИБ Инициативы по Актуальные ИБ риски ИБ
- 13. Проект системы визуализацииуровня ИБ в Министерстве Обороны США
- 14. Проблемы • Огромное количество данных – терабайты ежедневно • Необходимость написания правил корреляции • Определение пороговых значений • Отсутствие четких критериев оценки • Принятие решений на основе визуализированных данных • Кто управляет всей системой?
- 15.
- 16. Анализ инцидентов спомощью Splunk с привязкой к местоположению
- 17. Географическая привязка инцидентовс помощью Splunk в реальном времени
- 18. Проблемы • Отсутствие привязкик российским геоинформационным системам • Как идентифицировать реального заказчика атаки?
- 19. СБОР ДАННЫХ – СОБСТВЕННЫЕИСТОЧНИКИ
- 20. Центр мониторинга T-Mobile Источник: http://www.sicherheitstacho.eu/?lang=en
- 21. Детали центра мониторингаT-Mobile Общий взгляд Общее число атакующих Top15 стран Общее число атак Цели атак Распределение целей атак
- 22. Центр мониторинга Sophos:узкая специализация
- 23. Проблемы • Практически полноеотсутствие собственных сенсоров – «Ручеек» и «Аргус» в расчет не берем – СОБКА? • Активное использование разных решений по ИБ от разных производителей • Ориентация на сетевые события или только события ИБ
- 24. СБОР ДАННЫХ – ИСТОЧНИКИ3-Х ЛИЦ
- 25. Анализ прикладных событий(доступ к сайту) с помощью Splunk
- 26. Анализ активности пользователейFacebook c помощью Splunk
- 27. Проблемы • Обработка ихранение Big Data
- 28.
- 29. Анализ трафика спомощью Maltego
- 30. Анализ инцидентов спомощью Maltego
- 31. Анализ взаимосвязей междупользователями с помощью Maltego
- 32. Анализ взаимосвязей междупользователями с помощью Maltego
- 33. Анализ событий врамках ОРД с помощью Maltego
- 34. Прогнозирование с помощьюWebFOCUS
- 35. Проблемы • Необходимое количество аналитиков • Кто расследует инциденты? • Отсутствие моделей для анализа • Отсутствие моделей для прогнозирования
- 36.
- 37.
- 38.
- 39. Проблемы • Кто будетоперативно разрабатывать методические рекомендации по отражению атак? – Будет ли на них навешиваться гриф секретности? • Кто будет реагировать на местах? • Автоматическое реагирование – Проблема ложных срабатываний
- 40.
- 41. Проблемы • Как обмениваться Кто сообщает об уязвимостях в США? средствам защиты ФОИВов между собой информацией об атаках? • Как обмениваться ФОИВам между собой информацией об инцидентах, атакующих и т.п.? • Как обмениваться этой информацией с международными организациями?
- 42. Пример: Electric SectorIndustry Sector Advisory Committee (ES-ISAC) • Получение данных об инцидентах от электрокомпаний • Взаимодействие с National Infrastructure Protection Center (NIPC) • Связь с другими ISAC • Распространение лучших практик и извлеченных уроков • Взаимодействие с другими секторами экономики • Участие в киберучениях
- 43. Автоматизация процесса обмена:протоколы STIX и TAXII • Протокол STIX позволяет унифицировать описание различных угроз и связанных с ними параметров - индикаторы Structured Threat Information eXpression атаки, информация об инциденте, используемый для атаки инструментарий или уязвимости, предполагаемые меры нейтрализации атаки, информация о предполагаемом противнике/нарушителе и т.п. • Протокол TAXII унифицирует Trusted Automated eXchange of Indicator способы обмена информацией Information об угрозах, описанных с помощью STIX
- 44.
- 45. Как пытаются построитьтакую систему в мире?
- 46. Система визуализации уровняИБ в Госдепартаменте США • Сканирование каждые 36-72 часа • Фокус на готовности к атакам • Ежедневное устранение критичных проблем • Привязка к ответственности руководителей 100000 узлов
- 47. Cisco Security IntelligenceOperations 24x7x365 $100M+ 600+ ОПЕРАЦИИ ТРАТИТСЯ НА ИССЛЕДОВАНИЯ И ИНЖЕНЕРОВ И ИССЛЕДОВАТЕЛЕЙ РАЗРАБОТКИ 40+ 80+ ЯЗЫКОВ PH.D.S, CCIE, CISSP, MSCE 0010 010 10010111001 10 100111 010 000100101 110011 01100111010000110000111000111010011101 1100001110001110 1001 1101 1110011 0110011 101000 Cisco SIO 0010 010 10010111001 10 100111 010 000100101 110011 01100111010000110000111000111010011101 1100001110001110 1001 1101 1110011 0110011 101000 WWW Email Устройства Web CWS IPS AnyConnect Действия WWW IPS Сети Endpoints Информация ESA ASA WSA Обзор Контроль 1.6M 35% От 3 до 5 200+ МИНУТ ИНТЕРВАЛ МЕЖДУ ПАРАМЕТРОВ ОТСЛЕЖИВАЕТСЯ ГЛОБАЛЬНЫХ СЕНСОРОВ МИРОВОГО EMAIL ТРАФИКА ОБНОВЛЕНИЯМИ 75TB 13B 70+ ДАННЫХ ЕЖЕДНЕВНО WEB-ЗАПРОСОВ 5,500+ ПУБЛИКАЦИЙ ВЫПУЩЕНО IPS СИГНАТУР ВЫПУЩЕНО 150M+ 8M+ УСТАНОВЛЕННЫХ ENDPOINT ПРАВИЛ В ДЕНЬ
- 48. Сколько это можетстоить? Финансирование US-CERT, 2007-2011
- 49. security-request@cisco.com Благодарю вас за внимание BRKSEC-1065 © Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация Cisco 49