Технология защиты от Malware на базе SourceFire FireAMP

1. Дмитрий Казаков
Системный инженер
CCIE Security #29472
Технология защиты от Malwareна базе SourceFireFireAMP
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.

2. План презентации
•
Актуальные угрозы Malware
•
Отличие ретроспективного подхода к защите
•
Особенности анализа и работы системы FireAMP
•
Интеграция в продукты Cisco
•
Заключение
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 2

3. Актуальные угрозы Malware
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 3

4. “78% вторжений было обнаружено лишь спустя две и более недели
“70% было обнаружено третьими сторонами”
2013Verizon Data Breach Investigation Report
Симптом:Malware на устройстве
Защитапериметра
Защита сети
Защита устройств
Устройство
Несмотря на уровни защиты

5. VIRUSES
MACROVIRUSES
APTsMALWARE
WORMSHACKERS
1985
1995
2000
2005
2010
SPYWARE / ROOTKITS
Icons: attack vectors
Атакующие и защищающиеся провоцируют друг друга развиваться… …приводя к последовательному развитию сложности атак
Индустриализация хакерства

6. Серебрянной пули, ее не существует!…
“Самозащищающаяся
сеть”
“Совпадение шаблона”
“Нет False Positives,
Нет False negatives.”
Application
Control
FW/VPN
IDS / IPS
UTM
NAC
AV
PKI
“Разрешить/Запретить”
“Fix the
Firewall - NGFW”
“Нет ключа – нет доступа”
В процессе развития индустрии атак, каждый раз вендоры приходят и
обещают нам решение, которое закроет проблемы InfoSec раз и навсегда!
….. И когда же это реально работало?

7. Проблема: Слабый акцент на реагировании
Предотвращение
Исторические
исследования
Реакция на
инцидент
Нужно сильнее
фокусироваться
и развивать
“…СогласноUS Cert, Среднее время от взлома до обнаружения486 days и обычно взлом обнаруживается сторонней компанией”
US CERT
По результатам расследования, возвращаясь на месяцы назад, хакер взломалThe Times компьютеры ещеSept. 13.”
NY Times, Jan 30, 2013

8. Отличие ретроспективного подхода к защите
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 8

9. SourcefireAdvanced Malware Protection
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 9
Включая
Retrospective Security™
Коллективная интеллектуальная
система безопасности
 Всесторонний
 Продолжительный
анализ
 Интегрированные
средства
реагирования
 Аналитика
Big Data
 Контроль и излечение

10. Ретроспективный анализ
Продолжительный анализ–Ретроспективное обнаружение за горизонтом событий
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 10
Всегда наблюдает
… Никогда не забудет… Поворачивает время вспять
 Траектория
–Понимание масштабов путем отслеживания движения и активности Malware
Траектория файла–Видимость по организации, концентрация на данном файле
Траектория устройства–Глубокая видимость в файловую активность на одной системе

11. За горизонтом события ИБ
Антивирус
Песочница
Начальное значение = Чисто
Точечное обнаружение
Начальное значение = Чисто
AMP
Пропущены атаки
Актуальное значение = Плохо= Поздно!!
Регулярный возврат к ретроспективе
Видимость и контроль –это ключ
Не 100%
Анализ остановлен
Отложенный пуск
Неизв. протоколы
Шифрование
Полиморфизм
Актуальное значение = Плохо= Блокировано!
Ретроспективное обнаружение,анализ продолжается
Убирает ограничения обнаружения в текущем времени

12. Файловая траектория
•
Какие системы были заражены?
•
Кто был заражен первым (“пациент 0”) и когда это случилось?
•
Какова была точка входа?
•
Когда это произошло?
•
Что еще оно с собой принесло?
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 12
Быстро понять масштаб заражения и угрозы
Смотрит ПО ВСЕЙ организации и отвечает на
вопросы
:

13. Траектория устройства
•
Как Malware попало в систему?
•
Насколько глубоко инфекция ушла в систему?
•
Какие были установлены связи?
•
О чем я еще не знаю?
•
Какова цепь событий?
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 13
Быстрый анализ ключевой причины с интегрированными средствами излечения
Смотрит ГЛУБОКО в устройство и
отвечает на вопросы
:

14. Контроль вторжений
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 14
Множество способов остановить угрозу и устранить причину проникновения
Simple
Custom
Detections
Advanced
Custom
Signatures
Application
Blocking
Lists
Custom
White
Lists
Быстрые
и
точные
Семейства
Malware
Контроль групповой политики
Доверенные приложения и образы
Простые и специализированные блокировки, или
Контекстные сигнатуры для широкого контроля
Device Flow Correlation /
IP Blacklists
Блокировка соединений к плохим сайтам
Защита от Облака и Клиента

15. Всеобъемлющий
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 15
ВО ВРЕМЯ
Обнаружение
& Блокировка
ПОСЛЕ
Реагирование
, Источник, Расследование
Масштаб и глубина во всех аспектах цикла атаки
Сеть
Хост
ДО
Политики & Контроль
Ретроспективное уведомление
Траектория
Знание контекста
Автоматизация контроля
Соединяет
цикл атаки:
•Десктоп
•Мобильный
•Виртуальный
Траектория
Анализ файлов
Сетевой AMP
ХостовыйAMP
Расследование
Индикаторы поражения
Контроль вторжений

16. Особенности анализа и работы системы FireAMP
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 17

17. Так что же такое FireAMP?
Работает совместно с существующей системой защиты хостов
Беспрецедентная Видимость и Контроль внутрьMalware
Защищает Вас Изнутри и Снаружи Вашей сети
Излечение за Секунды нежели чем за Дни…..

18. Из каких компонент он состоит?
24.11.2014 © 2014 Cisco and/or its affiliates. All rights reserved. 20
Видимость и контроль
Видимость и контроль
AMP для Хостов
Коллективный
анализ
угроз
AMP для Сетей
Десктоп Мобильный
Обнаружение
Анализ
Блокирование
Излечение

19. FireSIGHT Management Console
(Defense Center)
FirePOWER Appliance
AMP для Сетей с интеграцией AMP для Хостов
VRT Dynamic Analysis Cloud
Файл направляется
на динамический
анализ
(по политике)
Запрос диспозиции файла в Облаке AMP(SHA256, Spero)
-Захват файлов с сетевых потоков
-Локальное хранение
-Калькуляция Хэшадля запросов
(по политике)
Конфигурация (политика) -
Файловая траектория-
AMP корреляция событий -
Ссылка на публичное облако AMP для Хостов
События с Агента
ХостовыеАгенты
Ручной динамический анализ
для ХостовыхАгентов
AMP Cloud

20. Конкретный
(ОДИН К ОДНОМУ)
(•)
Механизмы обнаружения AMP
Общий
(ETHOS)
{•••}
Дерево решений
(SPERO)
Интегративный
(Расширенный анализ)
∫
1
пользователи, механизмы
Момент
сопротивления
при обнаружении
Основной
Хэш
Функция
отпечатков
ОДИН К ОДНОМУ
Перехватывает «известные» вредоносные программы с помощью первичного сопоставления SHA. Эквивалентно системе на базе сигнатур.
ETHOS
Перехватывает семейства вредоносных программ с помощью «нечеткого хэша», встроенного в функцию печати. Противодействует обходу правил вредоносными программами за счет «битового жонглирования».
SPERO
Использует методы технологии искусственного интеллекта для обнаружения вредоносных программ в режиме реального времени с учетом среды и поведения. Периодически проверяет хранилище больших данных для выполнения ретроспективного анализа
РАСШИРЕННЫЙ АНАЛИЗ
Интегрирует функции эвристического анализа из среды вредоносной программы, хранилища больших данных, ETHOS и SPERO позволяют разъяснить результаты признания программ вредоносными

21. Какие процессы происходят на хосте
Хостовыйагент
Файловые операции
Сетевые операции
Захват I/O операций
Генерация отпечатка(SHA256)
Запрос диспозиции в облако
Отсылка SHA256+ Нечеткий Хэшв облако
Захват сетевого трафика
Отсылка TCP+UDP в Облако
Если Malware – Блокируем!
Нет PII
PII
Вкл/Выкл
Операции управления
Имя Хоста
IP адрес хоста
Heartbeat(Keepalive)
Логин (опция)
PII
Вкл/Выкл
PII
PII
Если Malware – Блокируем!

22. FireAMPДизайн частного облака
•
Административный портал для быстрого развертывания и управления
•
Анонимные запросы файловой диспозиции
•
Ретроспективный анализ
•
Траектория устройства
•
Файловая траектория
•
Поиск причин заражения
•
Отслеживание и блокирование

23. Публичное облако, связи и ретроспектива
File Query, Enterprise
(Connector ID, SHA, Spero, Ethos)
Ответ с диспозицией
Хостовыеагенты
PING2 Query
Изменение диспозиции
Ретроспективная очередь
SHA Conviction
AMP
Облако

24. Частное облако, связи и ретроспектива
File Query, Enterprise First / Unique
(Connector ID, SHA, Spero, Ethos)
Spero, Ethos
(Локальный анализ)
Ретроспективная
очередь
Ответ с диспозицией
Upstream File Query
(Device ID, SHA)
Ответ с диспозицией
Ретроспективная очередь
SHA Conviction
Изменение диспозиции
Изменение диспозиции
PING2 Query
PING2 Query
Хостовыеагенты
Частное облако
(Серверная клиента)
AMP
Cloud
File Query, Previously Seen in Ent.
(Connector ID, SHA, Spero, Ethos)
Spero, Ethos
(Локальный анализ)
Ответ с диспозицией

25. Время появления
Инфицированные системы
Сетевая траектория файла

26. Анализ траектории файла
•
Траектория распространения
•
Используемые протоколы
•
Используемые приложения
•
Пациент номер 0
•
Диспозиция файла и SHA256 хэш
•
История транзацкий

27. Неизвестный файл находится на станции сIP: 10.4.10.183, был загружен через Firefox
В10:57, неизвестный файл пересылается с IP 10.4.10.183 на IP: 10.5.11.8
Семью часами позже файл перемещается на третий хост(10.3.4.51) используя приложение SMB
Cisco Collective Security Intelligence Cloud обнаружила что файл вредоносен и ретроспективное действие вызывается для всех 4-х станций мгновенно.
Файл копируется на 4-ю станцию (10.5.60.66) через тожеSMB приложение через пол часа
В тоже время хост сFireAMPагентом реагирует на ретроспективное событие и мгновенно блокирует и помещает в карантин новое обнаруженное Malware
8 спустя первой атаки, the Malware пытается пройти в систему через оригинальную точку входа, но распознается и блокируется.

28. Анализ траектории хоста
•
Извлекаемые процессы
•
Скачиваемые файлы
•
I/O операции
•
Используемые приложения
•
Сетевые транзакции
•
Хэшфайла
•
Родительские процессы
•
Диспозиция файла
•
Облачный ретроспективный анализ

29. Сложим все вместеНа примере Zero-Day атаки

30. Анализ в песочнице
•
Выживаемость в системе
•
Особенности инсталляции
•
Попытки скрыться
•
Защита от удаления
•
Механизм обхода защиты
•
Anti Debugging
•
Обнаружение песочницы
•
Распространение
•
Использование эксплоит
•
Сетевая активность
•
Сниффинг, кейлоггинги т.д.

31. Интеграция в продукты Cisco
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 34

32. FireSIGHT
FireAMP
FirePOWER
ASA
ESA
WSA
CWS
Dynamic Analysis
Dynamic Analysis
FireAMP Private Cloud
События/
Корреляция
Облачные
сервисы
Локальные сервисы
Хосты
Сеть
Шлюзы
Песочница
Cisco обладает наиболее всесторонней системой защиты от Malware
AMP Везде

33. Признаки (индикаторы) компрометации
События СОВ
Бэкдоры
Подключения к серверам управления и контроля ботнетов
Наборы эксплойтов
Получение администраторских полномочий
Атаки на веб- приложения
События анализа ИБ
Подключения к известным IP серверов управления и контроля ботнетов
События, связанные с вредоносным кодом
Обнаружение вредоносного кода
Выполнение вредоносного кода
Компрометация Office/PDF/Java
Обнаружение дроппера

34. FireAMP > FireSight(DC)

35. FireAMP > FireSight(DC)

36. Заключение
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved. 39

37. Collective Security Intelligence
Private & PublicThreat Feeds
Honeypots
Advanced Microsoft & Industry Disclosures
50,000 MalwareSamples per Day
Snort®& ClamAV™ Open SourceCommunities
SourcefireAEGIS™ Program
SourcefireFireCLOUD™
IPS правила
Защита от
Malware
IP & URLBlacklists
Обновление баз
уязвимостей
Sourcefire Vulnerability
Research
Team
Глобальная видимость через открытое комьюнити

38. Интеллект в цифрах
14,443,920экземпляров
malware отправлено на анализ
>2,250,000 хостов отчитывают атаки в FireCLOUD
Лучшее в индустрии покрытие уязвимостей получено в NSS Labs IPS групповом тесте
В первый день закрытие уязвимостей Microsoft

39. CiscoRu Cisco CiscoRussia
Ждем ваших сообщений с хештегом
#CiscoConnectRu
Пожалуйста, используйте код для оценки доклада
2919Ваше мнение очень важно для нас.
Спасибо
Контакты
Имя: Дмитрий Казаков
Телефон: +7 499 929 5237
E-mail: dkazakov@cisco.com
24.11.2014
© 2014 Cisco and/or its affiliates. All rights reserved.