Top Banner
г. Краснодар 31 МАРТА 2016 #CODEIB Сергей Чекрыгин Check Point На один шаг ВПЕРЕДИ EMAIL [email protected]
45

Check Point. Сергей Чекрыгин. "На один шаг впереди"

Jan 20, 2017

Download

Software

Expolink
Welcome message from author
This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
Transcript
Page 1: Check Point. Сергей Чекрыгин. "На один шаг впереди"

г. Краснодар31 МАРТА 2016#CODEIB

Сергей Чекрыгин

Check Point

На один шаг ВПЕРЕДИ

EMAIL [email protected]

Page 2: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Традиционный подход

Антивирус

Фильтрация по URL

IPS, СОВ

Анти-бот

Контроль приложений

Атаки

Бот-сети

Опасные приложения

Вредоносный сайт

Вирус

Page 3: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Больше безопасности в одном устройстве

Межсетевой экран & VPNСистема предотвращения вторженийКонтроль приложений

Интеграция с ADФильтрация по URL

Антивирус АнтиботСетевой DLP

Page 4: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Модели

4000

Малые офисы До 3 Гб/c МЭ, от $600

Корпоративные шлюзы До 6 Гб/c IPS

Центры обработки данных До 110 Гб/C МЭ Высокая доступность и легкое

обслуживание

15000

23000

41000

61000

1100

Платформа для телеком Мастшабируемость Балансировка нагрузки

2200

Page 5: Check Point. Сергей Чекрыгин. "На один шаг впереди"

стало известным?

Что делать,чтобы неизвестное

Page 6: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Интеллектуальное

ВзаимодействиеАнализ

безопасности

IntelliStoreСенсоры

CERTsCERTs

Анализ событий

Сообщество

ИБ

Исследование кода

Page 7: Check Point. Сергей Чекрыгин. "На один шаг впереди"

CHECK POINT

Мы защищаем

будущее

Page 8: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Мы не сможем решить проблему,думая также, как когда мы создали еёАльберт Эйнштейн

Page 9: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Неизвестные угрозыне могут быть пойманытрадиционными технологиями ИБ 

Page 10: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Песочница

Способ работы с тем, что мы не знаем:

Page 11: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Как работает Песочница

• Системный реестр

• Сетевые соединения

• Файловая активность

• Процессы

Page 12: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Например:• Другая версия ОС или SP• Тестирование на виртуальную машину• Задержка в атаке

Вирус может скрыться

от Песочницы

Page 13: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Как работает

Любой вирус

Page 14: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Способ проникновения

вирусаУязвимость

Page 15: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Уязвимость Проникновение

Код пользуется уязвимостью

для изменения поведения системы

Способ проникновения

вируса

Page 16: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Уязвимость Проникновение Shellcode

Вредоносный код загружается

и получает права доступа

Способ проникновения

вируса

Page 17: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Shellcode Вирус

Код начинает

вредоносные

действия

Способ проникновения

вирусаУязвимость Проникновение

Page 18: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Shellcode

Уровень

команд

процессора

Уровень

ОС

Способ проникновения

вирусаВирусУязвимость Проникновение

Page 19: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Проверка на место возврата

AB C D E F21

3

456 Проверка возврата

управления в кодна место вызова в командах процессорадля поиска подозрительного кода

Page 20: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Песочница с защитой от угроз на уровне процессора• Обнаруживает атаки до заражения• Увеличивает шансы поймать вирус• Не зависит от ОС• Устойчива к техникам обхода песочниц

Page 21: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Можно ли избежать всех неизвестных угроз?

Другой подход

Page 22: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Технология THREAT EXTRACTIONПересоздание документа для исключения активного содержимого

Page 23: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Threat Extraction

Page 24: Check Point. Сергей Чекрыгин. "На один шаг впереди"

 [Restricted] ONLY for designated groups and individuals

Представля ем

AGENTSandBlast

CHECK POINT

Page 25: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Предотвращение угроз на ПКНезащищенные векторы атаки

Работа вне офиса

M2M внутри периметра

Внешние носители

Page 26: Check Point. Сергей Чекрыгин. "На один шаг впереди"

SANDBLAST Агент

Защита

от нацеленных

атак

Сдерживаниеинфекции

Реакция

[Restricted] ONLY for designated groups and individuals

Threat Extraction & песочница для ПК

• Доставляет безопасные файлы• Проверяет исходные файлы • Защищает скачивания из интернета и

копирования с внешних носителей

Page 27: Check Point. Сергей Чекрыгин. "На один шаг впереди"

SANDBLAST

Расширение для браузераПри скачивании из интернета

Мониторинг файловой системы

для копируемых файлов

Как работает защита от направленных атак

Page 28: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Мгновенная защита при загрузке из сетиДоставка безопасного файла

Конвертация PDF для защиты или безопасная версия исходного файла

Page 29: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Самостоятельно, без помощи службы поддержки

Доступ к исходному файлупосле проверки документа

Page 30: Check Point. Сергей Чекрыгин. "На один шаг впереди"

SANDBLAST Агент

Анти-ботдля рабочих станций и карантин

• Обнаруживает и блокирует общение с командным центром

• Указывает на зараженный файл• Изолирует зараженную рабочую станцию

Защита

от нацеленных

атак

Сдерживаниеинфекции

Реакция

Page 31: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Блокируем зараженную станцию

Предотвращаем потери• Блокируем управляющий канал• Предотвращаем утечку данных

Sandblast Агент: Анти-ботДля рабочих станций

Определем зараженные станции • Внутри и вне периметра • Изолируем работу

внутри периметра

Определяет управляющий канал – знаем зараженную станцию

Блокирует управляющий канал – изолируем вирус

Управление остановленоУправляющий канал

Анти-бот

Page 32: Check Point. Сергей Чекрыгин. "На один шаг впереди"

SANDBLAST Агент

[Restricted] ONLY for designated groups and individuals

Автоматическое расследование и ликвидация последствий

• Расследование – экономия времени и денег• Учет сетевой активности• Взаимодействие с антивирусом • Восстановление и ликвидация последствий

Защита

от нацеленных

атак

Сдерживаниеинфекции

Реакция

Page 33: Check Point. Сергей Чекрыгин. "На один шаг впереди"

 [Restricted] ONLY for designated groups and individuals

Ответ на инцидент предполагает понимание угрозы

Вопросы при расследовании:

1. Атака реальна?

2. Какие способы проникновения?

3. Какие данные были похищены?

4. Как ликвидировать последствия?

Page 34: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Анализ сетевой активности

SandBlast Agent Forensics

Обнаружение бота

Обнаружение бота

Блокировка управляющего канала

Блокировка управляющего канала

Зараженная станция

Зараженная станция

Командный центрКомандный центр

Изучение атакиИзучение атаки

Page 35: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Перехват коммуникации

Процесс связывается с командным

центром

Перехват коммуникации

Процесс связывается с командным

центром

Происхождение атаки

Уязвимость в Chrome

Происхождение атаки

Уязвимость в Chrome

От инцидента к расследованию

Автоматический анализ от начала атаки

От инцидента к расследованию

Автоматический анализ от начала атаки

Код для проникновения

Файл запущен в Chrome

Код для проникновения

Файл запущен в Chrome

Атака отслеживается

при перезагузках

Атака отслеживается

при перезагузкахПохищенные данные

Вирус обращался к документу

Запуск вируса

Вирус запустится после загрузки

Запуск вируса

Вирус запустится после загрузки

Скачивание вируса

Вирус скачан и установлен

Скачивание вируса

Вирус скачан и установлен

Активация вируса

Запланирована задача после загрузки

Активация вируса

Запланирована задача после загрузки

Page 36: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Что обычно делают после взлома?

Традиционное расследование

Традиционное расследование

Надежда на карантин антивируса

Надежда на карантин антивируса

Восстановление из образа

Восстановление из образа

• Работает только для известных угроз • Антивирус пропустит всё, что было до

обнаружения вируса • Данные могут быть похищены до обнаружения

• Работает только для известных угроз • Антивирус пропустит всё, что было до

обнаружения вируса • Данные могут быть похищены до обнаружения

• Не возвращает похищенные данные• Затратная и разрушительная процедура• На защитит от повторной атаки

• Не возвращает похищенные данные• Затратная и разрушительная процедура• На защитит от повторной атаки

• Расследование требует времени• Расследование требует редкой квалификации• Слишком дорого для каждого инцидента

• Расследование требует времени• Расследование требует редкой квалификации• Слишком дорого для каждого инцидента

Обычный подход после инцидента:

Page 37: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Подозрительная активность

Детали

Степень опасности

Вопрос 1: Это реальная атака?

Понимание инцидента Мгновенный ответ

На важные вопросы

Page 38: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Понимание инцидентаВыводы

Детали

Вопрос 2: Какие способы проникновения?

Page 39: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Утерянные файлы

Вопрос 3: Каков ущерб? Что похищено?

Понимание инцидента

Page 40: Check Point. Сергей Чекрыгин. "На один шаг впереди"

От понимания к действиям

Генерация скрипта для восстановления

Вопрос 4: Как ликвидировать последствия? Как восстановиться?

Page 41: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Взгляд на этапы атакиИнтерактивный отчет

• Вся атаки на одном экране• Отслеживание всех элементов• Обзор всех перезагрузок • Детали по каждому элементу

Интерактивный отчет• Вся атаки на одном экране• Отслеживание всех элементов• Обзор всех перезагрузок • Детали по каждому элементу

Page 42: Check Point. Сергей Чекрыгин. "На один шаг впереди"

SANDBLAST Агент

[Restricted] ONLY for designated groups and individuals

Сдерживаниеинфекции

Защита

от нацеленных

атак Реакция

Page 43: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Единственное решение с автоматическим анализом инцидентов и скриптом для

восстановления

Единственное решение с автоматическим анализом инцидентов и скриптом для

восстановления

SANDBLAST Агент

Другие продукты собирают данные для анализа

Другие продукты собирают данные для анализа

SandBlast Агент анализируетSandBlast Агент анализирует

Page 44: Check Point. Сергей Чекрыгин. "На один шаг впереди"

Демонстрация и пилотирование Отчет Security Checkup – проверка трафика в сети заказчика, бесплатно и конфиденциально. • Выявляение опасных приложений, • доступ к опасным сайтам, • коммуникации бот-сетей, • вирусные атаки,• утечка данных, • IPS атаки, • объяснение выявленных угроз, • рекомендации по устранению

Обратить к партнеру для заказа услуги

Page 45: Check Point. Сергей Чекрыгин. "На один шаг впереди"

CHECK POINTМы защищаем будущее

Сергей Чекрыгин[email protected]