Web és tartalomszűrés

Átírás

1 Web és tartalomszűrés Segyik István Rendszermérnök Április 22.

2 Témák Releváns támadási vektorok Technológiák Cisco biztonsági megoldások Cisco web biztonsági megoldások Tartalomszűrés a gyakorlatban: igények kontra valóság Cisco Public 2

3 Releváns támadási vektorok és más potenciális negatív hatások... Cisco Confidential 3

4 Új veszélyforrások Az internetes tartalmak sokat változtak: Interaktív web tartalmak; Komplex web-es (cloud) alkalmazások; Multimédia; Social Media; Stb... Sokkal szórakoztatóbb lett a net J Ugyanakkor új támadási formákkal kell szembenéznünk. A korlátlan használat kontra-produktív is lehet céges környezetben. Cisco Public 4

5 Releváns támadási vektorok Amelyek az előadás további részei szempontjából relevánsak... Web napi használatából származtatható támadások: Kiemelten veszélyesek: Malware -be rejtve; Adathalász ; Malware letöltésére motiváló ; Webes tartalomba ágyazott malware; Egyéb hasznos letöltésnek álcázott malware fertőzött fájlok. Közepesen vagy kevésbé veszélyesek: Adware (fenti módokon letöltöttek); Marketing SPAM. Nem célzott támadás: BÁRKI áldozat lehet. Cisco Public 5

6 A Malware Sokféle lehet. Sok esetben egymás klónjai vagy továbbfejlesztett változatai. Mára meglehetősen szofisztikáltak lettek: Rengeteg munkaórát fektetnek bele a készítők; Korszerű fejlesztő eszközökkel készülnek; Szakemberek készítik őket ma már többnyire PÉNZÉRT. Tudnak kárt okozni: Legrosszabb esetben ipari katasztrófát is tudnának; Jelszavak és egyéb titkos információk ellopása; Irányítás átvétele a fertőzött eszköz felett, annak irányított támadáshoz történő felhasználása (Botnet-ek SPAM és DDoS támadásokhoz). Meglehetősen makacs dolgok, eltávolításuk sok időt vesz igénybe. Enyhébb formája az adware ami kéretlen marketing üzenetekkel árasztja el a felhasználót. Védekezés: Megelőzés (Anti-malware rendszer, reputációs szűrés, patch-elés); Elkülönítés, eltávolítás. Cisco Public 6

7 A Malware útjai a rendszerünkbe: Érkezhet csatolmányként; Lehet az -ben egy URL, ami látszólag ártalmatlan, de valójában fertőzött site-ra mutat. Valamilyen módon álcázott... Védekezés: Tartalomszűrés az -ekben; Reputációs szűrés (domain-ek, SMTP szerverek). Cisco Public 7

8 A Malware útjai a rendszerünkbe: Cisco Public 8

9 A Malware útjai a rendszerünkbe: Web böngészés Számos mód létezik: Böngésző program sebezhetőségét kihasználó; Egyéb böngésző bővítmény sebezhetőségét kihasználó; Pl. Adobe Flash Zero Day (CVE ) Ártatlannak tűnő letöltött fájlba rejtett malware; Web-es alkalmazások használata során is letölthetünk káros kódot; Stb. Sokszor összetett a vektor: Több web site láncolata vezet a káros kódig; A már bejutott káros kód is képes újabb káros tartalmat letölteni; Sok esetben SSL/TLS-sel titkosított csatornákon kerülnek a rendszerünkbe. A web böngészés ma a legnehezebben kezelhető támadási felület. Cisco Public 9

10 Malware útjai a rendszerünkben Rendszeren belül is szerteágazó tevékenységet folytatnak. Sokszor a már ismert kártékony kód elindítása sok lépésben történik. Ártatlannak tűnő alkalmazások vagy kompromittált rendszer komponensek indítanak alkalmazásokat, amelyek indítanak továbbiakat. Cisco Public 10

11 Tájékozódni muszáj Gyártók ingyenes szolgáltatásai, pl: o o (Cisco) Cisco Security Center: Egyéb szervezetek ingyenes szolgáltatásai: o o o o SANS Internet Storm Center: Microsoft Security Research & Defense: CERT: RIPE és más Internet koordinációs központok: Cisco Public 11

12 Egyéb kellemtlenségek Az Internet szórakoztató, bizarr, különleges tartalommal van tele. Ezek: Lefoglalják munkavállalóinkat; Megterhelhetik a céges Internetet vagy akár a peremvédelmi- illetve a levelező rendszereket. Korlátozásuk (már az első Big Brother óta J ) szinte kötelező feladat. Cisco Public 12

13 Technológiák Internetes tartalom ellenőrzésére Cisco Confidential 13

14 Minden IOS routeren elérhető URL szűrés NBAR-ral; Applikáció kontroll NBAR2-vel; Egyedi mintázatok keresése FPM-mel; ACL-ek írása; Stateful inspection tűzfal. Ezek hasznosak, de meglehetősen statikus funkciók. Peremvédelmi rendszereken kívül (pl. Border Router) még mindig hatékonyak. Cisco Public 14

15 Anti-malware Futhat végponton, security szerveren, proxy-n vagy tűzfalon. Nincs tökéletes implementáció. Alapvetően mintázat alapú analízis, legtöbbször helyi feldolgozással. Extrák lehetnek: Heurisztikus kód elemzés; Sandboxing. Minél kifinomultabb, annál nagyobb az erőforrás igénye. Cisco Public 15

16 Sourcefire FireAMP TM Egyedi anti-malware engine koncepció: Fájlokat vizsgál azok mozgásakor (hálózat-gép vagy gépen belül); Futhat hálózaton vagy végponton (itt kiegészülhet tradícionális anti-malware engine-nel); Egyedi hash-t készít a fájlokról és egy cloud-ban elérhető adatbázissal hasonlítja össze; Retrospektív analízis és beavatkozás (végponton). A feldolgozásigényes feladatok a cloud-ba kerülnek: Ismeretlen fájlok analízise (Sourcefire vagy on-demand Sandboxing és heurisztikus analízis); Manuális analízis VRT által. Cisco Public 16

17 Reputációs szűrés Anti-malware motorok megállíthatják a malware fertőzéseket akár a peremzónában is, de: erőforrás igényesek (tűzfal, proxy, security szerver performanciát befolyásolják); ebből adódóan egy intenzív vírus kitörés esetén megbéníthatják a peremzónát. A reputációs szűrés: megtilthatja a kommunikációt az ismert internetes malware forrásokkal; kikerülheti az anti-malware motorokat megbízható forrásoktól érkező adatok esetében. A reputációs szűrés hatékonysága a gyártó adatbázisának minőségén múlik. A Cisco reputációs adatbázisát a Security Intelligence Operations (SIO) üzemelteti. Cisco Public 17

18 Cisco SenderBase TM A Cisco internetes reputációs adatbázisa. A Cisco Security Intelligence Operations (SIO) üzemelteti. Számos Cisco termék használja automatizált módon. Publikus felülete: Néhány statisztikai adat: o o o o Napi 100TB metaadatot dolgoz fel; 150 millió adatszolgáltató eszköz (saját, illetve ügyfélnél telepített); Napi 5 milliárd ; Napi 13 milliárd web kérés. Fontos: ügyfeleinknél levő eszközeinken az adatszolgáltatás önkéntes, alapbeállítás szerint kikapcsolt és hangolható. Cisco Public 18

19 Cisco SenderBase TM Információk a Senderbase-ből: o o o o és web reputációs információk (számos kirtérium alapján); Spam fajták és források; Malware leírások és források; Cisco által is használt Anti-malware szolgáltatások válaszidejének mérése. A portál hozzáférés igyenes. Szigorú reputációs feltételrendszer, nem írjuk felül politikai okokból. Cisco Public 19

20 Fájl szűrés Megtilthatja bizonyos fájlok -ben vagy http-n keresztül történő átvitelét. Miért? Mert biztonsági okokból nem akarunk bizonyos fájl típusokat kiengedni a hálózatból; Mert feleslegesnek találjuk bizonyos fájl típusok cseréjét üzleti szempontból. Tiltásukkal kíméljük a proxy erőforrásokat és az Internet sávszélességet. Bizonyos rendszereken tömörített fájlok kitömörítése is lehetséges. Cisco Public 20

21 Anti-SPAM A SPAM probléma: Megterheli az security és szervereket; Kellemetlen, lassítja a felhasználók munkáját. Kliens és központi Anti-SPAM engine-eket használhatunk. A korszerű Anti-SPAM rendszerek egyidőben végeznek: Reputációs szűrést; tartalom analízist. Cisco Public 21

22 Anti-Phishing A Phishing (adathalászat): Megtévesztő amely látszólag valamilyen banki vagy más szolgáltatótól érkezik. Általában hamisított vagy fertőzött weboldalra mutató linket tartalmaznak. A weboldal értékes információkat kérhet, mint pl. Net banking azonosító vagy malware-t terjeszt. Védekezés: Anti-Phishing engine az security szerveren; Web proxy-n vagy tűzfalon az ilyen kapcsolatok tiltása (reputation filtering). Cisco Public 22

23 Data Loss Prevention A cél bizonyos adatok (pl. speciális azonosító számok) kiszivárogtatásának megállítása. A kiszivárogtatás történhet -ben, chat-en vagy fájlokban. Védekezés: DLP alrendszerek használata az Security szerveren, tűzfalon vagy web proxy-n. Fájlok átvitelének korlátozása. Cisco Public 23

24 Web használat korlátozása Bizonyos web oldalak használatát célszerű: Megtiltani; Munkaidőben megtiltani; Monitorozni és naplózni. Legtöbbször HR kérésre történik, de jogi problémák megelőzése is lehet a célja. Ha letöltő oldalakat, nem szükséges web mail vagy social média szolgáltatásokat blokkolunk, azzal a biztonság is növelhető. A megoldás Acceptable Use Control. Ez már több, mint egyszerű URL szűrés: Egy URL mögött már nem csak egyféle tartalom található. Social media, blog-ok pedig végképp összezavarják a képet. Dinamikus tartalom analízis szükséges (tökéletes megoldás nincs, hatékony van). Cisco Public 24

25 Alkalmazás kontroll A felesleges (kockázatos vagy kontra-produktív) alkalmazások tiltása sokat segít a védelemben. Ehhez fel kell tudni ismerni őket, ami nem egyszerű: Sokszor többféle, akár dinamikusan változtatott portokon keresztül kommunikálnak; Gyakran használnak HTTP-t kommunikációs csatornának; Vagy éppen egy-egy web-es (pl. Facebook) alkalmazásba integrálódnak. A TCP és UDP portok alapján történő szűrés ma már nem elégséges. Viselkedés analízis alapú megoldásokra van szükség. Cisco Public 25

26 SSL/TLS tiktosítást alkalmazó tartalmak vizsgálata Az SSL/TLS tiktosítás megvakítja : az anti-malware motorokat; a dinamikus tartalomszűrést végző más motorokat (fájl szűrés, DLP). URL alapú szűrés még működhet. Hogyan? (HTTPS esetén a HTTP fejléc titkosított.) Korszerű tűzfalakon és web proxy-kon elérhető SSL visszafejtés és újratitkosítás. Man-inthe-Middle (MITM) módszer. Dedikált SSL visszafejtő hardverek is léteznek (pl. Sourcefire). Lehet transzparens a felhasználó számára: A proxy fogadja az SSL kérést; Saját nevében nyit kapcsolatot a szerver felé; A szerver tanúsítványához hasonló tanúsítványt generál a saját tanúsítványával hitelesítve; Amennyiben a proxy saját tanúsítványa egy, a kliens számára Trusted Root CA-tól származik, akkor nem lesz tanúsítvány hiba. Cisco Public 26

27 SSL/TLS tiktosítást alkalmazó tartalmak vizsgálata Példa az SSL/TLS titkosítás MITM típusú visszafejtésére. Ez a weboldal biztonságos, a szerző által is napi szinten használt. Cisco Public 27

28 Autentikáció Felhasználóhoz vagy eszközhöz kell tudnunk kapcsolni a káros tevékenységet. Az autentikáció lehet: Passzív Nincs explicit kommunikáció felhasználó és a gateway/proxy között. Inkább csak azonosítás, jelszó ellenőrzés nem történik. Aktív, transzparens Explicit kommunikáció és teljes autentikáció gateway/proxy és a felhasználói eszköz között, de a felhasználó számára láthatatlan. (Single Sign On általában NTLM authentikációval.) Aktív Aktív autentikáció a felhasználó munkamenetének megszakításával. A passzív autentikációhoz dinamikus IP-felhasználó adatbázis üzemeltetése szükséges. Ezt végzi el számunkra a Cisco Context Directory Agent (CDA). Passzív autentikáció történhet még felhasználónevek kiolvasásából különböző protokollokból (IMAP, PoP3, stb.). Cisco Public 28

29 Kitérő: IPv6! A megfelelő IPv6 kezelés (ma még): Teljesen letiltjuk: Nem felkonfigurálni a hálózati eszközökön nem elegendő. Explicit módon tiltani kell a különböző IPv6 over IPv4 tunneling metódusokat. IPv4-hez hasonlóan kezeljük. A jelenlegi tartalomszűrési eszközök IPv6 képessége már közelíti az IPv4-est, de nem éri el. Cisco Public 29

30 Cisco biztonsági megoldások Cisco Confidential 30

31 Cisco Ironport Security Appliance (ESA) Virtuális (VMware és Cisco UCS szerver felett) és hardware appliance. Funkciók: Sender reputation filtering; Anti-SPAM; Anti-malware motorok (Sophos, Webroot, McAfee, FireAMP-hamarosan); Integrált RSA DLP engine; Outbreak Filter automatikusan érvényesített Cisco Security Intelligence Operations (SIO) szabályokkal; Valós idejű URL analízis; Helyi vagy off-box (Management Appliance) karantén; titkosítás (Cisco secure envelope services). Menedzselhető az integrált GUI-n vagy Content Security Management Appliance-en keresztül. Cisco Public 31

32 Security Appliance integráció Interfészek: Menedzsment; Public listener: MX rekord a DNS zónában; Private listener: SMTP relay a groupware szerver számára. Terhelésmegosztás és magas rendelkezésre állás: Több SMTP relay és DNS MX rekord beállítása (nem ideális, de működik); Load-balancer. Cisco Public 32

33 Cisco Cloud Security ESA-hoz hasonló funkciók. ESA-hoz hasonló skálázhatóság. Cisco által hosztolt hardver erőforrások. Cisco által biztosított rendszer menedzsment. Integráció: az MX rekordok és SMTP relay címek a Cisco-ra mutatnak. Cisco Public 33

34 Cisco Web biztonsági megoldások Cisco Confidential 34

35 Web Security Appliance (WSA) Virtuális (VMware felett) és hardware appliance formátumok. Funkciók: HTTP(S), FTP(S) proxy cache és TCP optimalizációs funkciókkal; TLS visszafejtés és újra titkosítás (MITM típusú); Dinamikus URL és reputációs szűrés; Általános tartalom szűrés (fájl típusok); Egyszerű integrált DLP motor és interfész (ICAP) külső DLP rendszerek felé; Fejlett Alkalmazás Kontroll. Anti-malware motorok (Sophos, McAfee, Webroot és FireAMP egyszerre maximum kettő); Botnet Activity Filtering (L4TM) külön promiscuous vagy in-line interfészen teljes UDP és TCP port tartomány vizsgálatával. Menedzselhető az integrált GUI-n vagy centralizált Content Security Management Appliance-en keresztül. Cisco Public 35

36 Web Security Appliance telepítés HTTP(S) és FTP(S) forgalom átirányítás: Explicit proxy beállítás böngészőben vagy OS-ben; Transzparens: WCCP; Policy Based Routing; Destination NAT (SSL/TLS proxy nem megy). L4TM funkció külön interfészeken dolgozik (nem csak HTTP és FTP): Egy port promiscuous módban switch-ről vagy router-ről történő adat tükrözéssel; Két port in-line módban (transzparens, spanning-tree feldolgozás sincs). Nincs Stateful Failover vagy Clustering. Terhelésmegosztás és redundancia megoldások: WCCP alapú; Több proxy megadása PAC fájlban; Külső load-balancer alkalmazása. Cisco Public 36

37 Web Cache Communication Protocol (WCCP) Cisco által fejlesztett content routing protokoll. Nem csupán átirányítás : Terhelésmegosztás; Redundancia kezelés; Jelzésrendszer ; Adaptív fail-open/close állapot kezelés; Layer 2 és Layer 3-as (GRE) metódusok. Támogatott: Cisco Catalyst switch-ek; Cisco ASA tűzfalak; Cisco IOS routereken; Más gyártók eszközein. Bővebben: Cisco Public 37

38 Web Security Appliance WSA modellek Fizikai hardver Egyező virtuális modell Disk (GB) RAID Mem (GB) CPU Core S170 S100V S380 S300V S Cisco Public 38

39 Cisco integrált web security megoldások (méltatlanul rövidre fogva) Stateful Inspection Tűzfal-ba integrált megoldások. A stateful inspection tűzfal még mindig alapelem. Több megoldás létezik: Meraki MX (cloud managed); Cisco ASA + NGFW (CX) szoftver vagy hardver modul; SourceFire NGFW konfiguráció (Protect, Control és FireSight licencekkel). JÖN, JÖN, JÖN (még idén): ASA + Sourcefire. Átfedő funkcionalitás, eltérő skálázhatóság és komplexitás. Mindegyiknek megvan a maga helye a piacon. Cisco Public 39

40 Cisco integrált web security megoldások Meraki MX ASA-NGFW Sourcefire NGFW Komplexitás Alacsony Közepes Magas Menedzsment Cloud PRSM Defense Center URL és reputációs szűrés Van Van Van Anti-malware Nincs Nincs FireAMP Intrusion Prevention System SNORT (egyszerűsített) Cisco IPS (egyszerűsített) SNORT (teljes, hangolható) Caching Csak WAN optimalizáció Nincs Nincs SSL/TLS proxy Nincs Van Csak külső appliance-szel Autentikáció Nincs Aktív és passzív Aktív és többféle passzív Fájl szűrés Nincs Van Van (FireAMP-pel integrálható) DLP Nincs Nincs Egyszerű Alkalmazás kontroll Van Van (részletes) Van (részletes) VPN Remote Access és Site-to- Site Remote Access és Site-to- Site Site-to-Site Cisco Public 40

41 Tartalomszűrés a gyakorlatban Cisco Confidential 41

42 Hinni kell a csodákban, de fel kell készülni megoldandó problémákra Valós teljesítmény. Kompatibilitás, a meglevő rendszer szükséges módosítása. A felhasználók oktatása, a felhasználókkal történő elfogadtatás. Egyéb kezelendő kérdések. Cisco Public 42

43 Teljesítmény Még a mai FPGA és célprocesszorok mellett sem lehetséges a teljes funkcionalitást hardveresen gyorsítani. Általában hardveresen gyorsítható funkciók: Bit-pattern vagy regex egyezés keresés kisebb adat blokkok esetén; Titkosítás; Egyszerű szűrőlisták kezelése. Az anti-malware rendszerek sokkal összetettebbek és nagyobb adat blokkokkal dolgoznak. A háttérben zajló, adattovábbítást közvetlenül nem befolyásoló naplózási és statisztikai feldolgozási folyamatoknak is van CPU, disk I/O és DRAM követelménye. Cisco Public 43

44 Meglevő rendszerekhez történő illesztés Proxy esetén explicit proxy módban a proxy-t be kell állítani: Többféle böngészőt kell beállítani; Nem minden eszköz kezelhető group-policy-k segítségével. Transzparens módban is szükséges lehet a böngészők beállítása: SSL/TLS proxy-hoz a Trusted Root CA beállítása; Nem mindegyik böngésző kezeli az OS tanúsítvány kezelő modulját. Az autentikáció minden esetben valamiféle integrációs erőfeszítést igényel. Cisco Public 44

45 A felhasználók... Oktatni kell őket (főleg nem transzparens autentikáció esetén). Esetenként a konfigurációs beállításokban is segítenünk kell. (P.l. Firefox külön tanúsítvány kezelővel rendelkezik). Nem biztos, hogy örülnek a kontrollnak. Akár jogi problémák is akadhatnak. Elővigyázatosságból lehet: Szolgáltatási szabályzat felkínálása és elfogadtatása; (Legtöbb rendszer ad felhasználói interakcióra lehetőséget.) A titkosítás visszafejtésének megfelelő hangolása. (p.l. banki oldalak érintetlenül hagyása.) A tesztelési fázisba be kell vonni a felhasználókat. Fel kell készülni a kérdésekre (főleg eleinte). Cisco Public 45

46 Egyéb lehetséges problémák Nincs tökéletes anti-malware program: legyen kontingencia terv. A maximum vizsgálható fájl méret limitált lehet. Kevéssbé rugalmas tanúsítvány kezelés. (P.l. hoszt operációs rendszer még tolerálhat hiányzó Subject Alternative Name mező bejegyzéseket, a gateway nem mindig teszi.) Üzemeltetési igény. Jól automatizált rendszerekről beszélünk, de hatékony üzemeltetésük igényel munkaidő befektetést. Cisco Public 46

47 Pár jó tanács Azért, hogy hatékony, könnyen üzemeltethető megoldás szülessen. Internetes tartalomszűrő rendszerek beszerzése csak RFP kiírás alapján nem célszerű. A Point of Concept tesztelés kötelező: Időt kell rá szánni; Munkaórát kell rá szánni; Pénzt kell rá szánni (későbbi oktatáson egy része megspórolható). Az egyik legfontosabb folyamatosan frissítendő rendszer a peremzónában. Cisco Public 47

48 Köszönjük!