Downloaded 11 times
Uploaded byCisco Russia
Эволюция архитектуры безопасности для эры всеобъемлющего интернета
Полугодовой отчет Cisco за 2015 год демонстрирует рост сложности кибератак и адаптацию злоумышленников к новым методам защиты, с зафиксированными миллиардами блокированных угроз и спама. В отчете подчеркивается необходимость интегрированной защиты и постоянного обновления систем для противостояния эволюционирующим вредоносным программам и exploit kits. Уязвимости повторяются из-за недостатка внимания к безопасности в процессе разработки, что создает возможности для атак и компрометации данных.
More Related Content
Similar to Эволюция архитектуры безопасности для эры всеобъемлющего интернета
Эволюция архитектуры безопасности для эры всеобъемлющего интернета
- 1.
- 2. • Заблокированных угроз:19,692,200,000 угроз в день • Заблокировано спама: 2,557,767 сообщений/сек • Web-запросов в день: 16.9 миллиардов Что видит Cisco?
- 3. Изменение в поведенииатак Скорость Ловкость Адаптация Уничтожение Инновации, использование старых приемов на новый лад и обход защитных механизмов
- 4. Скорость означает новыйуровень сложности. Разработчики вредоносного кода стали более инновационными и быстрыми к адаптациям
- 5. Ловкость нарушителей –их сила Постоянные обновления увеличили уровень проникновения Angler до 40% В два раза эффективнее, чем другие exploit kits в 2014 Скомпрометированная система Уязвимости Flash Смена цели Angler Непрерывное забрасывание «крючков в воду» увеличивает шанс на компрометацию Социальный инжиниринг Сайты- однодневки TTD Меры защиты Блокирование Web Блокирование IP Ретроспективный анализ Антивирус Защита ПКСканирование Email
- 6. Патчи: окно воздействия Людине очень оперативно обновляются до последних версий Flash и тем самым создают возможности для Angler и других угроз, использующих непропатченные уязвимости
- 7. Web-атаки стабильны (исключаяFlash) Java PDF FlashSilverlight Декабрь 2014 – Май 2015
- 8. Rombertik Вредоносное ПО эволюционируетне только в сторону кражи данных — если его обнаруживают и пытаются воздействовать на него, он может уничтожить зараженную систему. Уничтожение если обнаружено • Уничтожение MBR • После перезагрузки компьютер перестает работать Получение доступа • Спам • Фишинг • Социальный инжиниринг Уход от обнаружения • Записать случайные данные в память 960 миллионов раз • Засорение памяти в песочнице Украсть данные пользователя • Доставка данных пользователя обратно злоумышленникам • Кража любых данных, а не только банковских Анти-анализ Стойкость Вредоносное поведение
- 9. Обход «песочниц» Вредоносное ПОэволюционирует в сторону защиты от исследования в песочницах, где вредоносный код запускается и анализируется. Данные методы не новы, но в 2015-м году они стали применяться все чаще.
- 10. Основные категории уязвимостей повторяютсяиз года в год CWE-119 Ошибки буфера 471 CWE-20 Проверка ввода 244 CWE-399 Ошибки управления ресурсами 238 CWE-200 Раскрытие/уте чки информации 138 CWE-264 Права, привилегии & контроль доступа 155 Если все знают про эти проблемы, то почему они повторяются? Возможно разработчики недооценивают SDLC? Или они спешат выпустить продукт в ущерб ИБ?
- 11. Постоянная модификация вредоносного кода AdwareMultiPlug использует собственную схему кодирования URL для обхода обнаружения, тем самым увеличивая «эффективность» по отношению к скомпрометированным пользователям Число скомпрометированных пользователей: Новая схема URL vs. старая схема URL Новая схема URL драматически опережает старую. Изменение домена – раз в 3 месяца (уже 500 доменов) Непрерывное изменение имен Add- On для браузера (уже 4000 имен)
- 12. Формирование индустрии киберпреступности От $450миллиардов к $1 триллионуНомер SSN $1 Мобильное вредоносное ПО $150 $Информация о банковском счете >$1000 зависит от типа счета и суммы на нем Учетная запись Facebook $1 за учетную запись с 15 друзьями Данные платежных карт $0.25-$60 Разработка вредоносного ПО $2500 (коммерческое ПО) DDoS DDoS как сервис ~$7/час Спам $50/500K emails Медицинские записи >$50 Эксплойты $1000- $300K © 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 12
- 13. “Версия”: число раз,когда Cisco обновляла оповещения, когда производители пытались выявить и устранить эти уязвимости в своих продуктах 9версий Open SSL (FREAK) 1 версия QEMU Virtual Floppy Disk Controller (VENOM) 22версии Open SSL (Heartbleed) 25версий GNU Bash (Shellshock) 15версий GNU C glibc (Ghost) Процесс управления патчами минимизирует ночные кошмары от отслеживания, координации и внедрения обновлений Патчи для open source: управление поставками ПО становится критичной задачей 32версии SSL 3.0 Fallback (POODLE)
- 14. Эволюция вымогателей: Цель –данные, а не системы TOR Вымогатели теперь полностью автоматизированы и работают через анонимные сети $300-$500 Злоумышленники провели собственное исследование идеальной точки цены. Сумма выкупа не чрезмерна Личные файлы Финансовые данные Email Фото Фокусировка вымогателей – редкие языки (например, исландский) или группы пользователей (например, онлайн-геймеры)
- 15. Dridex: воскрешение старыхметодов Использование «старых» методов, краткосрочность и постоянная мутация приводят к сложностям в блокировании макровирусов Кампания стартовала Обнаружена с помощью Outbreak Filters Антивирусный движок обнаруживает Dridex Но злоумышленники все равно проникли в систему Мы обнаружили с начала года 850 уникальных образцов рассылок Dridex, действующих не более нескольких часов
- 16. Риск поймать вредоносныйкод зависит от индустрии Никто не застрахован от нападения Это только вопрос времени, когда злоумышленники увидят потенциал в отраслях, находящихся «справа»
- 17. Карта отражает необъем активности в этих странах. Страны с высоким рейтингом имеют множество Web- серверов и узлов с неисправленными уязвимостями в своих сетях. Россия 0,936 Япония 1,134 Китай 4,126 Гонгконг 6,255 Франция 4,197 Германия 1,277 Польша 1,421 Канада 0,863 США 0,760 Бразилия 1,135 Вредоносный код в международном масштабеЗлоумышленники не признают границ Malware Traffic Expected Traffic
- 18. Спам в международноммасштабе В России объемы спама только выросли. В два раза!
- 19. Время обнаружения Текущее значениеTTD в индустрии - 200 дней, что недопустимо 46200 VS ЧАСОВДНЕЙ Индустрия Cisco Значение TTD вычисляется с помощью механизма ретроспективной безопасности, встроенной в решения Cisco и позволяющей отправлять отпечатки каждого файла в облачный сервис Cisco
- 20.
- 21. Глобальное управления неготово к кибер- вызовам и геополитическим интересам Три примера усилий, которые, делая шаги в правильном направлении, могут создать трудности на практике: Разработка эффективной нормативной базы требует идти в ногу с злоумышленниками. Однако на практике так происходит не всегда (например, поправки в Васенаарские соглашения) Высота птичьего полета Разделяемый доступ Ужесточение контроля
- 22.
- 23. Зоопарк средств защитысоздает сложное окружение для организаций Большие, хорошо зарекомендовавшие себя игроки Только стандартизация и улучшение обмена информации в отрасли ИБ позволит лучше интегрировать решения от нишевых игроков и давно существующих компаний. Организации, оказавшиеся между Нишевые игроки
- 24. Изменение бизнес-моделей Сложность и фрагментация Динамика ландшафта угроз Производителей средствзащиты на RSA Возросла потребность в кадрах ИБ 373 12x Среднее число вендоров у корпоративного заказчика 50 Сложность Люди Фрагментаци я Инвестиции в средства защиты растут. Но средства защиты не взаимодействуют
- 25. 75% CISO считаютсвои средства защиты «очень» или «всесторонне» эффективными Традиционный индивидуалистичный подход не поспевает за угрозами
- 26. Заказчики должны требоватьдоверенные продукты от своих поставщиков Производители должны отвечать за уровень защищенности своих продуктов Защищенная разработка Защищенное железо Защищенное внедрение Защищенная поставка
- 27. Внешние услуги закрываютразрыв С ростом скорости появления и вариативности угроз и нехватки квалифицированных кадров, многие организации будут больше полагаться на внешних поставщиков услуг для управления рисками информационной безопасности ПерсоналОценка Автоматизация / Аналитика Гибкие бизнес- модели Гибкость Политика приватности
- 28. Точечные решения немогут идти в ногу с угрозами Необходимость в интегрированной защите от угроз
- 29. Злоумышленники атакуют точечныерешения с возрастающей скоростью NGIPS Malware Sandbox IAM Antivirus IDS Firewall VPN Email NGFW Данные Бездумная трата денег на новинки вместо того, чтобы сесть и подумать о целостной системе защиты
- 30. Данные Злоумышленники атакуют точечныерешения с возрастающей скоростью NGIPS Malware Sandbox IAM Antivirus IDS Firewall VPN Email NGFW Время обнаружения: 200 дней
- 31. Только интегрированная защитаможет идти в ногу с угрозами Данные Systemic Response Время обнаружения: 46 часов
- 32. Пора задуматься осмене стратегии © 2015 Cisco and/or its affiliates. All rights reserved. Cisco Confidential 33
- 33. Высокая мотивация киберкриминала Изменение бизнес-моделей Динамичность ландшафта угроз Думатькак злоумышленник © 2015 Cisco and/or its affiliates. All rights reserved. 34
- 34. Точечные и статичные решения © 2015 Ciscoand/or its affiliates. All rights reserved. 35 Фрагментация Сложность Требуют лишнего управления
- 35. Локализовать Вылечить Устранить причины Непрерыв- ное решение © 2015Cisco and/or its affiliates. All rights reserved. 36 Узнать Применить политику Усилить защиту Идентифицировать Блокировать Отразить
- 36.
- 37. Сервисы User Endpoint Филиалы Service Provider Edge Data Center Кампус Операционные технологии Экосистема Cisco Hosted Identity Services CloudWeb Security + Intelligent WAN AnyConnect featuring AMP for Endpoints FirePOWER Threat Defense for ISR Threat-Centric Security for Service Providers ACI + FirePOWER Services Integration Интеграция ACI с TrustSec Развитие экосистемы pxGrid Индустриальная Cisco ASA with FirePOWER Services User Cisco Hosted Identity Services ПК Интеграция AnyConnect с AMP for Endpoints Периметр FirePOWER Threat Defense for ISR ЦОДы Интеграция ACI + FirePOWER Service Операторы связи FirePOWER 9300 User Cisco Hosted Identity Services Пользователи Cisco Hosted Identity Services Недавний анонс на CLUS
- 38. • Злоумышленники быстросовершенствуют свои возможности с целью избегания обнаружения • Точечные решения создают слабые места в системе защиты • Интегрированная защита, построенная на доверенных продуктах и услугах, - лучшая защита Выводы
- 39. 2015 Midyear SecurityReport cisco.com/go/msr2015