Сетевая безопасность: две стороны одной медали

СЕТЕВАЯ БЕЗОПАСНОСТЬ:ДВЕ СТОРОНЫ ОДНОЙ МЕДАЛИ

Дрожжин ДанилЭксперт по сетевой безопасности

Москва, 2015

ПОВЕСТКА

Проблемы традиционного межсетевого экранирования

ПОВЕСТКА

В чем опасность 0-day атак, и как с ними бороться?

ПОВЕСТКА

Практический опыт. Как обойти правила безопасности

большинства межсетевых экранов?

ПОВЕСТКА

DDoS. Защита инфраструктуры и бизнес-критичных сервисов

ПОВЕСТКА

DDoS – это затратно?

ПОВЕСТКА

DDoS – это затратно?

Недостатки облачной защиты от DDoS

ПРОБЛЕМЫ МЕЖСЕТЕВОГО ЭКРАНИРОВАНИЯ

Основной проблемой межсетевого экранирования является отсутствие контроля приложений

Политики стандартных межсетевых экранов базируются на контроле Портов IP- адресов Протоколов

Но современные приложения изменились,

что означает: Порты = приложение

IP-адреса = пользователи Пакеты = контент

СТАНДАРТНЫЕ МЕТОДЫ РЕШЕНИЯ ПРОБЛЕМ

Стандартный метод решения данной проблемы заключается в добавлении дополнительных решений «помощников» межсетевых экранов

Enterprise Network

IMDLPIPS ProxyURLAV

Internet

AppSignatu

IPSSignatures

VirusSignatures

URLSignatures

Application

Policy

Application

Inspection

IPSPolicy

Threat Inspect

Anti-VirusProxy

AV Inspect

Web FilteringPolicy

URL Inspecti

Packet Inspection Flow

Stateful FW policy

Port-based session

Inspection

L4 Session

О ПРОИЗВОДИТЕЛЕ

Преимущества Palo Alto Networks:

Команда мирового класса с богатейшим опытом в

области безопасности и сетевых технологий

Основана в 2005 году

Наличие российского представительства с

большим количеством тестового оборудования

Более 10 000 корпоративных заказчиков в 100

странах мира

Техническая поддержка 24х7х365, склад RMA в РФ

Авторизованные учебные курсы на русском языке

Исследование консалтинговой компании GARTNER

ТЕХНОЛОГИИ PALO ALTO NETWORKS

App-ID Идентификация

приложений

User-ID Идентификация пользователей

Content-ID Контроль

данных

App-ID

Content-ID User-ID

БЫСТРОДЕЙСТВИЕ

Межсетевые экраны нового поколения Palo Alto используют архитектуру однопроходной параллельной обработки

При сканировании одновременно анализируется и определяется: Приложение Пользователь\группа Контент – угрозы, URL и т.д.

Параллельная обработка Специализированное

аппаратное обеспечение для каждой задачи

Разделение Data plane и Control plane

Один проход Каждый пакет сканируется только один раз.

СТАТИСТИКА

Молдова

Беларусь

Монголия

Украина

Армения

Вьетнам

Азербайджан

Казахстан

Россия

00% 10% 20% 30% 40% 50% 60%

Риск заражения пользователей вредоносным программным обеспечением

Россия занимает 1ое место в рейтинге стран по возможности заражению вредоносным программным обеспечением

* - статистика Kaspersky Security Bulletin 2014

КЛЮЧЕВЫЕ ЭТАПЫ СОВРЕМЕННОЙ СЕТЕВОЙ АТАКИ

Приманка

Завлечь, использовать специальное ПО, открыть файл или перейти на веб-сайт с вредоносным ПО

Эксплоит

Зараженный контент использует уязвимости установленного ПО без ведома пользователя

Загрузка ПО для «черного хода»

В фоне загружается и устанавливается второй вредонос

Установление обратного канала

Вредонос устанавливает исходящее подключение для связи с злоумышленником

Разведка и кража данных

Удаленный злоумышленник имеет доступ внутри сети и проводит атаку

РАСПРОСТРАНЕНИЕ ВРЕДОНОСНОГО ПО НУЛЕВОГО ДНЯ

Час

Коли

чест

во п

опы

ток

зара

жен

Подписка WildFire

На примере 50 вредоносов нулевого дня в сетях заказчиков Palo Alto Networks

• Очень высокая скорость в первые 8 часов

• Выравнивание после 24 часов

АРХИТЕКТУРА СЕРВИСА WILDFIRE

ПРАКТИЧЕСКИЙ ОПЫТ

Крупная компания-перевозчик

Отказоустойчивый кластер в главном ЦОД

14 региональных филиалов

Организация удаленного доступа через Global Protect

Совместимость с протоколами динамической

маршрутизации

Централизованная система управления – Panorama

Пытаемся зайти на РБК. Настроено правило, которое блокирует доступ к URL-категории «news and media»

Переводим с русского на русский в Google Translate

С настроенным SSL Forward Proxy

Запрещено обращение именно к категории news and media

ВЫВОДЫ

Приложения нужно идентифицировать независимо от того,

как оно пытается пройти через межсетевой экран

Дешифрация SSL в корпоративной сети необходима

Сервис WildFire снижает человеческий фактор в

информационной безопасности

МСЭ Palo Alto Networks – мультитул для организации

Palo Alto Networks – лидеры рынка NGFW

ЧТО ТАКОЕ DDOS-АТАКА?

АНАТОМИЯ АТАК

Кого атакуют?

* - статистика Wide Infrastructure Security Report 2014

Series10%

Обл./хостинг провайдерыФинансыПравительствоЭл. коммерцияИгрыЗдоровьеОбразованиеМедиаРитейл

АНАТОМИЯ АТАК

Кого атакуют?

* - статистика Wide Infrastructure Security Report 2014

Series10%

Обл./хостинг провайдерыФинансыПравительствоЭл. коммерцияИгрыЗдоровьеОбразованиеМедиаРитейл

Series10%

10%20%30%40%50%60%70%80%

HTTPDNSHTTPSSMTPSIP/VoIPIRCДругие

Какие сервисыатакуют?

ПОЧЕМУ ВАЖНА ЗАЩИТА ОТ DDOS?

Доступность ботнетов

Доступность ботнетов Мотивы

Доступность ботнетов Мотивы Объемы

Доступность ботнетов Мотивы Объемы Сложность

Типы DDoS-атак

65% - Атаки на переполнение 20% - Атаки на таблицу сессий17% - Атаки уровня приложений

Доступность ботнетов Мотивы Объемы Сложность Частота

Частота атак0 1-10 11-20 21-5051-100 101-500 Более 500

Продолжительность атак< 1 часа 1-6 часов 7-12 часов 13-24 часа1-3 дня 4-7 дней 1-4 недели > 1 месяца

ЖЕРТВЫ DDOS-АТАК ВЕСНЫ 2014

КАТЕГОРИЗАЦИЯ DDOS-АТАК

Volumetric AttacksПереполняет каналы связи: Во внутренних сетях цели Между сетями провайдера и

атакуемой сетью

ISP Firewall IPS

LoadBalancer

Серверы приложений

TCP State-Exhausting Attacks Атака направленная на устройства

связи с контролем состояний (load balancers, firewalls, application servers)

Нацелена на традиционную структуру сетевой безопасности

ISP Firewall IPS

LoadBalancer

TCP State-Exhausting Attacks Атака направленная на устройства связи

с контролем состояний (load balancers, firewalls, application servers)

Нацелена на традиционную структуру сетевой безопасности

Application Layer Attacks Малозаметные атаки на приложения Нацелены на определённые уязвимости

приложений

ISP Firewall IPS

LoadBalancer

ЗАЩИТА ОТ DDOS

Установлен у 100% сервис-провайдеров уровня Tier 1 Мониторинг мирового интернет-трафика (>120 Тбит/с) Лидер в операторском, enterprise и мобильном сегменте

ЗАЩИТА ОТ DDOS

Установлен у 100% сервис-провайдеров уровня Tier 1 Мониторинг мирового интернет-трафика (>120 Тбит/с) Лидер в операторском, enterprise и мобильном сегменте

СХЕМА ЛУЧШЕЙ ЗАЩИТЫ ОТ DDOS

Операторы связи Корпоративные заказчики

Продукты серии:

ПРЕИМУЩЕСТВА ARBOR PRAVAIL APS

Защита “из коробки”

Простота внедрения

В разрыв: активный/пассивный Мониторинг на Span/Tap

Pravail APS Сеть ЦОД

Pravail APS

Сеть ЦОД

Link Tap / Port Span

Блокировка комплексных атак

Защита “из коробки”Простота внедренияБлокировка комплексных атакОблачная сигнализация

Облачная сигнализация

Очистка SSL-трафика

Интерфейс на русском языке

Обновляемые сигнатуры Atlas Intelligence Feed

ACTIVE THREAT LEVEL ANALYSIS SYSTEM (ATLAS)

Первая в мире система анализа угроз

Peakflow SP Peakflow SP

ISP NetworkDARKNET

ATLAS SENSOR

ISP NetworkDARKNET

ATLAS SENSOR

ISP NetworkDARKNET

ATLAS SENSOR

ATLAS DATA CENTER

ATLAS ANALYSIS SYSTEMS

Сенсоры систем ATLAS расположены в сети интернет для обнаружения и классификации атак

Информация отправляется в ATLAS central repository где объединяется с данными полученными от инсталляция Arbor Peakflow и другими данными

Команда ASERT анализирует данные и создаёт Fingerprint

Более 300 операторов мира предоставляют

данные для анализа

Honeypots &SPAM Traps

SecurityCommunity

2.2M +сэмплы

DDoSFamily

20,000 + Вредоносных программ в день

“Песочница из виртуальных машин” запускает вредоносный код(ищет командный центр сети ботнет, отслеживает отклонения и закономерности сетевого поведения кода)

“Fingerprint”

Отчёт и PCAP файлы сохраняются в базе

Постоянная аналитика 24 часа в сутки для создания базы данных сигнатур

ЗАЩИТА

Продукты Arbor Pravail и Peakflow автоматически

получают последнюю информацию об интернет

угрозах используя Atlas Intelligence Feed (AIF)

Поведенческийпризнак

АНАЛИЗ

Команда ASERT находит и анализирует

угрозы

Вредоносное ПОБотнеты

ЧервиP2P

Arbor Networks анализирует 120Tbps

ПОИСК

120Tbps, около 1/3 глобального интернет

трафика

ВЫВОДЫ

DDoS-атаки и атаки нулевого дня – это угроза бизнесу

ВЫВОДЫ

DDoS-атаки и атаки нулевого дня – это угроза бизнесу Защита должна быть умной и многоуровневой

ВЫВОДЫ

DDoS-атаки и атаки нулевого дня – это угроза бизнесу Защита должна быть умной и многоуровневой ATLAS – лучший центр экспертизы по защите от DDoS

ВЫВОДЫ

DDoS-атаки и атаки нулевого дня – это угроза бизнесу Защита должна быть умной и многоуровневой ATLAS – лучший центр экспертизы по защите от DDoS Arbor Networks и Palo Alto Networks – лидеры рынка

Решаемые проблемы:

• Отсутствие исчерпывающей информации по

объемам, виду и составу как внутрисетевого

трафика, так и межсетевого взаимодействия (в

том числе взаимодействие с Интернет);

• Наличие сетевых уязвимостей инфраструктуры

(сетевые вирусы, активности бот сетей,

попытки вторжения и т.д.);

• Сокращение инвестиций на развитие сетевой

инфраструктуры;

• Сокращение инвестиций на развитие внешних

каналов связи.

и еще более 40 услуг от КРОК бюджетом до 1 млн рублей и сроком выполнения до 1 месяцаПодробнее: www.croc.ru/expressКонтакты: express@croc.ru

ВНЕДРИТЬ ИТ-ПРОЕКТ ЗА МЕСЯЦ!СЕГМЕНТАЦИЯ СЕТЕВОЙ ИНФРАСТРУКТУРЫ

БУДУ РАД ВОПРОСАМ!

ddrozhzhin@croc.ru 111033, Москва, ул. Волочаевская, д.5, корп.1

+7 495 974 2772www.croc.ru

Дрожжин ДанилЭксперт по сетевой безопасности

Сетевая безопасность: две стороны одной медали

Software

Две стороны любви

Сильные стороны ember.js

Посвящается М - drsработа...

22 связанн стороны

ОРДЕНА И МЕДАЛИ Великой...

Сетевая акция_коррррррр

медали за оборону Ленинграда,...

СЕТЕВАЯ ОБРАЗОВАТЕЛЬНАЯ...

Сетевая безопасность для...

Грамоти, медали

Инженерная и сетевая...

Антон Карпов - Сетевая...

Бизнес-процессы и outside-in banking (две...

ЗЛАТНИ МЕДАЛИ

Все стороны злосчастной медали

Ордена и Медали СССР

сетевая солнечная...

matrixvisum - Новая сетевая...

Две стороны медали: сбор...

Контроль за компьютерами...