Защита самого ценного - ИТ-безопасность со скоростью бизнеса

Конец года – весьма подходящее время, чтобы отметить важные тенденции, которые наметились в деятельности киберпреступников и сфокусировать внимание на наиболее актуальных в отношении своей компании. Мегатрендами, по мнению исполнительного директора INTERPOL IGCI Нобору Накатани, остаются вирусы-вымогатели, атаки на финансовые учреждения и DDoS-атаки. Конечно, в фокусе злоумышленников остается получение денег. Не прекратятся и целенаправленные атаки, осложненные сокрытием следов. Компаниям потребуется надежно защищать критичные IT-активы.

Согласно отчету Group-IB – ведущей международной компании, которая занимается предотвращением и расследованием киберпреступлений и мошенничеств, в проходящем году наиболее ярко отметились и имеют предпосылки повториться события:

Вирусы-вымогатели (шифровальщики) приводили к масштабным эпидемиям и также использовались для отвлечения внимания от основного инцидента и маскирования следов целенаправленных атак.
Атаки на критическую инфраструктуру, включая банки, производились уже не только для получения денег, но еще и с целью шпионажа или диверсий.
Новой целью атакующих стал процессинг производителей терминалов самообслуживания. Также атаковались банкоматы и карточный процессинг.
Злоумышленники регулярно использовали вредоносные программы, которые работают только в оперативной памяти и исчезают после перезагрузки системы, что позволяет преступникам долго оставаться незамеченными.
Весьма актуален был почтовый фишинг.
Были атакованы оборудование клиентов банков и криптовалютные сервисы.
Вредоносный код активно выкладывался в открытый доступ, инструментарий для взлома существенно развился.

Как выглядит критичный IT-актив для финансовой организации, ритейл, производственной, телеком компании или любой другой? Для каждой отрасли и организации он выглядит по-разному. Это может быть система, обрабатывающая важные данные в ЦОДе, автоматизированная/IoT-система, например, корпоративный транспорт с дистанционным мониторингом и контролем, подключенный к Интернету, это может быть точка продаж, банкомат или даже пользовательская рабочая станция. Все эти системы объединяет то, что стабильность их работы очень важна для жизнедеятельности компании и эти системы необходимо надежно защищать. Снижение производительности и простой business- или mission-critical систем конечно же должен сводиться к минимуму, а развитие вычислительных сред, позволяющих получать прибыль, требуется делать «со скоростью бизнеса».

Таким образом, подходящее средство защиты для наиболее критичных систем должно обеспечивать максимальную защиту от угроз, в том числе от новых уязвимостей и угроз нулевого дня. Оно должно быть гибким по архитектуре и покрывать потребности в защите для множества типов систем, легко развертываться и управляться. Безусловно, такое средство защиты должно оказывать минимальное влияние на производительность защищаемого объекта и должно давать возможность защищать как высоконагруженные кластеры, так и системы с ограниченными вычислительными ресурсами, с учетом, что зачастую такие системы не имеют подключения в общую сеть и тем более Интернет. И такое решение есть…

Symantec Data Center Security и Critical System Protection

В аспекте защиты критичных IT-активов, решения Symantec Data Center Security:Server Advanced (SDCS:SA) и Symantec Critical System Protection (SCSP) различаются между собой преимущественно набором защищаемых платформ: SDCS:SA фокусируется на типовых для ЦОДов системах, а SCSP – на критичных IoT-системах (таких, как транспорт) и отдельно стоящих устройствах.

Как это работает? Принцип защиты основан на микросегментации, деэскалации административных привилегий, снижения критичности уязвимостей и очень важный момент – обеспечивается защита от угроз нулевого дня. Для сохранения целостности системы выполняется контроль приложений, служб/процессов и сетевых подключений, обращений к оперативной памяти и важным пользовательским файлам, блокируется состояние настроек системы и приложений. Главное отличие продуктов SDCS:SA и SCSP от антивируса заключается в том, что контентная проверка на основе сигнатур не выполняется, вся защита происходит на основе детализированных политик доступа для каждого процесса, не нагружая сервер или embedded систему. Соответственно, регулярные апдейты сигнатурных баз не нужны, как и подключение к Интернету (рис. 1).

На соревнованиях хакеров «Capture the Flag» на ежегодной конференции Black Hat в США Symantec уже более 6 лет демонстрирует надежность защиты непропатченных систем от взлома при помощи технологии Data Center Security и Critical System Protection. Каким же образом достигается успех? Разберем критичную систему на основные группы объектов защиты (рис. 2).

Для защиты в SDCS:SA и SCSP применяется целый ряд технологий. Для упрощения восприятия при знакомстве с этими решениями, мы сведем основные технологии в три группы и рассмотрим их.

Изолированная среда исполнения для системных служб и прикладных программ, контроль доступа к процессам и к оперативной памяти

Большинство известных системных приложений и служб имеют профиль поведения, который определен в шаблоне политик защиты. Для пользовательских приложений и служб можно создать свой собственный пользовательский профиль поведения или использовать готовый из шаблона. Работает функционал создания пользовательского профиля по элементарному алгоритму:

запускается профилирование поведения пользовательского приложения/службы;
запускается пользовательское приложение/служба и производится сбор событий активности всех его процессов;
завершается профилирование, создается пользовательский профиль поведения и используется в политике.

В будущем отклонения поведения пользовательского процесса/службы будут классифицироваться как вредоносная активность и блокироваться. Что немаловажно – все процессы получают лишь необходимые привилегии. Эта технология является ключевой, позволяет наиболее эффективно защищать любые системы и не требует регулярных обновлений и подключения к сети Интернет. Она позволяет защитить критичную систему от новых угроз и снижает критичность установки патчей. Поскольку принцип работы изолированной среды и контроля доступа не подразумевает анализ контента, то потребность в ресурсах значительно ниже, чем для антивируса, что позволяет защищать высоконагруженные и ограниченные в системных ресурсах системы. Именно благодаря этой технологии решения SDSC:SA или SCSP стабильно демонстрируют свою эффективность уже много лет.

Блокировка настроек и файлов конфигурации

Настраивается запрет на изменение файлов и реестра, а также подключение устройств. Даже если злоумышленник получит доступ к системе – изменить настройки он не сможет.

Хостовой файерволл и IPS

Очистка сетевого трафика эффективно отсекает вредоносный код. Для сред Windows доступны готовые политики IDS и IPS «из коробки», которые отслеживают и предотвращают подозрительную активность в системе.

Для виртуальных сред Windows при интеграции с VMware NSX, новые виртуальные машины становятся защищены уже сразу после создания, что существенно повышает скорость обеспечения безопасности систем.

С помощью SDSC:SA и SCSP вы сможете защитить подавляющее большинство платформ: физические и виртуальные сервера Windows, Linux, Unix-подобные системы, QNX RTOS, контейнеры Docker и embedded-системы.

Пример использования Symantec CSP для банкоматов

Банкоматы являются важнейшим оборудованием и лакомым кусочком для киберпреступников. Эти системы предназначены для одной задачи, поэтому установка ПО и изменение настроек происходит редко, набор приложений заранее известен, системные ресурсы ограничены, а также необходимо обеспечивать требования стандарта PCI DSS. Представим в виде таблицы потребности в IT-защите для банкоматов и методы защиты.

Успехи в защите систем от взлома, которые демонстрирует ПО Symantec Data Center Security:Server Advanced и Symantec Critical System Protection на хакерских соревнованиях, вселяют оптимизм – эту группу решений уверенно можно назвать качественным звеном в экосистеме защиты, существенно поднимающим стоимость атак киберпреступников. На российском рынке это ПО успешно прижилось, однако, пока не имеет широкой известности. Эту несправедливость исправляет компания Web Control.

📎📎📎📎📎📎📎📎📎📎