Next Generation IPS. SourceFire alapokon. Kis-Szabó András IT Biztonsági tanácsadó, CISA, CRISC, ISO27001LA április 22.

Átírás

1 Next Generation IPS SourceFire alapokon Kis-Szabó András IT Biztonsági tanácsadó, CISA, CRISC, ISO27001LA április 22.

2 Tartalom Kontextusba helyezés Hardver kontextus Menedzsment kontextus NG IPS kontextus NG FW kontextus Demo kontextus S&T Public 2

3 Új biztonsági kihívások S&T Public 3

4 S&T Public 4

5 A hackelés iparosodása Cél: hírnév, mód: zaj Cél: profit, mód: lopás VIRUSES MACRO VIRUSES WORMS HACKERS SPYWARE / ROOTKITS APTs MALWARE A hackerek és a védelmi technikák egymást sarkallják új technológiák alkalmazására -> fenyegetés ciklusok Icons: attack vectors S&T Public 5

6 Izolált védekezés sose lehet 100%-os Mélységi védekezés ellenére is 78% 2 héten túli felfedezés 70% Külső fél felfedezése S&T Public 6

7 IPS Gartner elemzés A Sourcefire leader az IPS Gartner Magic Quadrant-ban 2006 óta. Product Mért Gbps Adatlap Gbps 3D D D8120 3,4 2 December 2013, forrás: Gartner S&T Public 7

8 Az új biztonsági modell Támadási momentum ELŐTTE Control Enforce Harden ALATT Detect Block Defend UTÁNA Scope Contain Remediate Network Endpoint Mobile Virtual Cloud Point in time Continuous S&T Public 8

9 Az új biztonsági modell Támadási momentum ELŐTTE Control Enforce Harden ALATT Detect Block Defend UTÁNA Scope Contain Remediate Firewall VPN NGIPS Advanced Malware Protection NGFW UTM Web Security Network Behavior Analysis Secure Access + Identity Services Security Point in time Continuous S&T Public 9

10 Sourcefire megoldások NGFW / App Control Gain visibility and control applications and users NGIPS Stop exploits, hackers, and other intrusions and attacks Advanced Malware Protection Find malware missed by other security layers S&T Public 10

11 Collective Security Intelligence Malware Protection IPS Rules Sourcefire VRT (Vulnerability Research Team) Sandboxing Machine Learning Big Data Infrastructure Reputation Feeds Vulnerability Database Updates Private and Public Threat Feeds Sandnets Advanced Microsoft and Industry Disclosures File Samples (>180,000 per Day) SPARK Program FireAMP Community Snort and ClamAV Open Source Communities Honeypots Awareness, Education, Guidance, and Intelligence Sharing (AEGIS) Sourcefire AEGIS Program S&T Public 11

12 Sourcefire Appliances S&T Public 12

13 IPS Performance and Scalability Platformok és hálózati alkalmazásaik FirePOWER 8200 Series 10 Gbps 40 Gbps FirePOWER 8100/ Gbps - 10 Gbps FirePOWER 7120/7125/ Gbps - 2 Gbps FirePOWER 7000 Series 50 Mbps 250 Mbps SOHO FirePOWER 7100 Series 500 Mbps 1 Gbps Branch Office Internet Edge Campus Data Center S&T Public 13

14 FirePOWER 8300 sorozat 50%-al több teljesítmény Adatközpontok, hálózati gerincek számára 30Gbps NGIPS 45Gbps NGIPS 60Gbps NGIPS Sourcefire NGIPS, NGFW és AMP futtatására 15Gbps NGIPS FP8390 2U chassis és úgy stackelhető, mint a 8200 sorozat FP8350 FP8360 FP8370 S&T Public 15

15 Virtuális eszközök DC Virtuális szenzor Inline vagy passzív kialakítás Teljes NGIPS/NGFW/AMP képesség Virtuális appliance-ként telepített Virtuális Defense Center Max 25 szenzorig Fizikai vagy virtuális Egységes GUI felület S&T Public 16

16 Next Generation IPS DURING S&T Public 17

17 Snort architektúra Packet Decoder Packets are read using the Data AcQuisition library (DAQ) (e.g. afpacket) Decodes datalink protocols Decodes network protocols Decodes transport protocols Preprocessors Examine packets Modify packets Normalize traffic Detection Engine Uses Snort rules to create signatures for threats Wide range of detection capabilities Modular detection elements DAQ libraries network Packet Decoder Preprocessors Detection Engine Logging and Alerting System Output Modules Alert and log files S&T Public 18

18 Pontosság TCP / IP reassembly átverés megelőzés Többféle detekciós technika egyszerű szignatúrák több ismert exploit-ra Komplex szignatúrák exploit-ra (layer 7-ig ) ismert sérülékenységekre (állapotkövetéssel) Anomália detekció - day 0 ellen. A megfelelő szabályokat kell alkalmazni A menedzsment rendszer javasol szabályrendszert S&T Public 19

19 Sebesség Szenzor Analízis Közös csomag feldolgozási lánc (DAQ) Skálázható hardware (terheléselosztó, klaszter) Nagy számítási kapacitás Flow processzorok log n szerinti skála Impact analysis Contextual data at source Correlation Rules Javító - Remediation Services S&T Public 20

20 Sebesség Szenzor Analízis Közös csomag feldolgozási lánc (DAQ) Skálázható hardware (terheléselosztó, klaszter) Nagy számítási kapacitás Flow processzorok log n szerinti skála Impact analysis Contextual data at source Correlation Rules Javító - Remediation Services 100,000 events 5,000 events 500 events 20 events +10 events 3 events S&T Public 21

21 NGIPS value architecture User Interface Presentation engine Reporting engine Remediation services Reputation services Rules engine Correlation engine Geolocation services Anomaly Detection Detection Engines Directory mapping Directory Services Network Awareness Threat awareness User Awareness DAQ S&T Public 22

22 Rugalmasság Snort szabályok : szöveg alapúak & univerzálisak Lingua franca az IPS iparban Több, mint 20,000 szabályt tartalmazó könyvtár Rugalmasan szerkeszthető Szabály szerkesztő Alkalmazás default-ok S&T Public 23

23 2012 NSS Labs SVM S&T Public 24

24 Next Generation Firewall BEFORE S&T Public 25

25 Next Generation Firewalling Definition? Next Generation Firewalls (NGFWs) blend the features of a standard firewall with quality of service (QoS) functionalities in order to provide smarter and deeper inspection. In many ways a Next Generation Firewall combines the capabilities of first-generation network firewalls and network intrusion prevention systems (IPS), while also offering additional features such as SSL and SSH inspection, reputation-based malware filtering and Active Directory integration support. Source: S&T Public 26

26 Sourcefire NGFW fenyegetés alapján NGIPS Snort technológia alapján NGFW zóna, VLAN, IP, port, protokoll, alkalmazás, felhasználó, URL (5.3 Geo IP alapján) Controlled traffic Security Intelligence URL awareness IP Geo-location IPS Policy FireSIGHT Teljes kontextus Security Intelligence Dinamikus szabályok a VRT-től Teljesen integrált szabályrendszer (IPv6 teljes) IPS szabályok File vezérlési szabályok Firewall Policy Switching, Routing VPN, High Availability File policy Malware policy S&T Public 27

27 NSS elemzés Check Point % Dell SonicWALL SuperMassive E10800 Sourcefire 8290 Juniper SRX3600 Stonesoft 3202 Sourcefire 8250 FirePOWER appliances achieve best combination of security effectiveness, TCO and performance for overall NGFW leadership Juniper SRX3600 Check Point Dell SonicWALL SuperMassive E10800 Stonesoft 3202 Palo Alto Networks PA-5020 Palo Alto Networks PA-5020 Sourcefire 8290 Sourcefire 8250 Fortinet Fortigate-3600C Fortinet Fortigate-3600C 100% 90% 90% 80% 70% 60% 50% Enterprise Management & Security Effectiveness 40% WatchGuard XTM % 80% $140 $120 $100 $80 $60 TCO per Protected-Mbps NSS Labs 2013 Next-Generation Firewall Security Value Map $40 $20 70% ity Effectiveness $0 20% S&T Public 28

28 FireSIGHT S&T Public 29

29 Ami talán a legfontosabb One of the world s 3 largest credit reporting agencies: - 20,000 nodes - 7,500 employees Generic Work Rate: $75/hour Source: SANS "Calculating TCO on Intrusion Prevention Technology whitepaper, March 2010 S&T Public 30

30 A kontextus egységes rálátást biztosít End-point Infrastructure Boundary Mit? Kit? Honnan? Az esemény helyes kontextusba helyezése lerövidíti az analízis idejét S&T Public 31

31 A kontextus a legfontosabb - Context is everything Event: Target: Host OS: Apps: Location: User ID: Full Name: Department: Attempted Privilege Gain (vulnerable) Blackberry Mail, Browswer, Twitter Whitehouse, US bobama Barack Obama Executive Office Event: Target: Host OS: Apps: Location: Attempted Privilege Gain (vulnerable) Blackberry Mail, Browser, Twitter Whitehouse, US Event: Attempted Privilege Gain Target: A kontextus az eseményeknek egészen más jelentést ad S&T Public 32

32 A FireSIGHT segít az automatizálásban IT Insight Hamis host-ok, anomáliák, policy sértések, Impact Assessment A fenyegetés korreláció 99%-al csökkenti figyelemre méltó eseményeket Automated Tuning Az IPS szabályok automatikus hangolása a hálózatnak megfelelően User Identification A felhasználókat kapcsolja össze a biztonsági (és compliance) eseményekkel S&T Public 33

33 A FireSIGHT leegyszerűsíti a szabályrendszert S&T Public 34

34 Technológiák összehasonlítása Categories Examples Sourcefire NGIPS & NGFW Typical IPS Threats Attacks, Anomalies Users AD, LDAP, POP3 Web Applications Facebook Chat, Ebay Application Protocols HTTP, SMTP, SSH File Transfers PDF, Office, EXE, JAR Malware Conficker, Flame Command & Control Servers C&C Security Intelligence Client Applications Firefox, IE6, BitTorrent Network Servers Apache 2.3.1, IIS4 Operating Systems Windows, Linux Routers & Switches Cisco, Nortel, Wireless Mobile Devices iphone, Android, Jail Printers HP, Xerox, Canon VoIP Phones Avaya, Polycom Virtual Machines VMware, Xen, RHEV Information Superiority Contextual Awareness Typical NGFW S&T Public 35

35 FireSIGHT Demonstráció S&T Public 36

36 Kérdés? S&T Public 37

37 Köszönöm.

38 FireSIGHT Context Explorer App Visibility Felhasználó OS Sérülékenység View all application traffic Look for risky applications What else have these users been up to? Who is using them? On what operating systems? What does their traffic look like over time? S&T Public 39

39 Awareness Who is at the host OS & version Identified What other systems / IPs did user have, when? Server applications and version Client Applications Client Version Application Only Sourcefire delivers complete network visibility S&T Public 40

40 Felhasználók azonosítása LDAP és AD Agent Monitorozott csoportok AD Agent S&T Public 41

41 OpenAppID RSA bejelentés OpenAppID, alkalmazás fókuszú detekciós nyelv Snort felhasználók az OpenAppID detektorokkal azonosíthatják az alkalmazásokat használatukat riportolni tudják tudnak készíteni és megosztani OpenAppID-t A Cisco több, mint 1000 mintát adott már hozzá Lua : ingyenes, portolható scripting nyelv (hatékony, de egyszerű) OpenAppID : gyorsabb és egyszerűbb szabályalkamazás S&T Public 42

42 Context Explorer S&T Public 43

43 Filter Web application S&T Public 44

44 File information S&T Public 45

45 Drill down S&T Public 46

46 Security Events S&T Public 47

47 Threat Awareness S&T Public 48

48 Threat Awareness S&T Public 49

49 Threat Awareness S&T Public 50

50 Threat Awareness S&T Public 51

51 Threat Awareness S&T Public 52

52 Threat Awareness S&T Public 53

53 Threat Awareness S&T Public 54

54 Definitions S&T Public 55

55 Malware S&T Public 56

56 Malware meglepetésekkel S&T Public 57

57 NGIPS: Intrusion Policy S&T Public 58

58 NGFW: Access Control S&T Public 59

59 NGFW: Access Control S&T Public 60

60 NGFW: Access Control S&T Public 61

61 NGFW: Access Control S&T Public 62

62 NGFW: Access Control S&T Public 63

63 NGFW: Access Control S&T Public 64

64 NGFW: Access Control S&T Public 65

65 Reputation at Firewall S&T Public 66

66 File policy S&T Public 67

67 S&T Public 68