Недавно появился класс продуктов, который относится к классу DDP (Distributed Deception Platform). Такой продукт позволяет дополнить имеющиеся решения EDR, XDR, NTA и на начальном этапе обнаружить lateral movement хакера по своей сети. Для перемещения между компьютерами сотрудников и между сетями используются уже имеющиеся аккаунты в системе и поэтому злоумышленника сложно отличить от собственного сотрудника. В этом проблема распознавания lateral movement, что все действия производятся от аккаунта легитимного сотрудника. Но ведь уже были HoneyPot раньше. Этот новый класс продуктов отличается от решения класса HoneyPot тем, что он располагает специальные приманки не в каком-то отдельном сегменте сети, куда хакер должен (почему-то) прийти, а прямо на каждом компьютере. В английском языке такие приманки называют traps, decoy и lure. Приманкой может служить файл или аккаунт пользователя, который в обычной жизни компании не используется, но для хакера может быть привлекателен тем, что он может быть аккаунтом администратора или бухгалтера или в файле могут быть нужные ему данные. Поскольку приманка на виду, то вероятность, что злоумышленник "клюнет" увеличивается. Эти приманки не требуют установки агентов, могут распространяться через GPO, и они контролируются системой управления и доступ к ним или подбор пароля к ним будет означать, что кто-то "поймал наживку" - мы начинаем реагировать.
среда, 10 февраля 2021 г.
Какую задачу решают продукты класса Deception
четверг, 14 января 2021 г.
Пилот NGFW. Какие функции проверять?
четверг, 7 января 2021 г.
Атаки на VPN будут продолжаться
Откройте любой новостной портал, например, securitylab.ru и почитайте новости: хакеры и белые и черные постоянно ищут уязвимости в VPN шлюзах и что не удивительно находят. И тут есть две проблемы:
- производители сетевого оборудования оказываются уязвимы и можно взломать компанию через VPN;
- сотрудники компаний не следят за уязвимостями своего оборудования и не обновляют прошивки, даже если уязвимость уже устранена и есть обновление.
Что нужно делать? Поступать как хакер: постоянно сканировать свои внешние адреса и искать уязвимости. Как только уязвимости найдены - сразу устранять. Нужно выделить специальную группу сотрудников для этого, или хотя бы одного человека, или, наконец, нанять внешнюю компанию. Оставлять эту проблему без внимания можно, только если вам не жалко вашу внутреннюю информацию.
Если вы сетевой администратор, то сегодня же проверьте, что версии VPN шлюза или NGFW (на котором обычно работает VPN шлюз) не содержат публично известных уязвимостей. Также начните использовать двухфакторную аутентификацию и HIP.
вторник, 22 декабря 2020 г.
Методы обнаружения взломанного SolarWinds
Вообще взлом SolarWinds в 2020 году ничем не отличается, похоже, от взлома M.E.Doc в 2017 году. Если компанию M.E.Doc взломали просто украв логин и пароль сотрудника, то SolarWinds можно было взломать простым подбором, ведь пароль для доступа был solarwinds123. И это доступ уже продавали в 2017 году.
Причем, взлом, M.E.Doc был более профессионален, поскольку для управления бот-сетью использовались те же сервера M.E.Doc и пакеты с командами хакера ничем не отличались от потока пакетов с обновлениями M.E.Doc. Понятно, что если бы был NTA, то можно было бы.. но это уже другая история..
Здесь же для взлома FireEye попробовали скачать CobaltStrike, что в общем их и обнаружило (по словам FireEye, я уверен, что всей правды мы никогда не узнаем). К чести компании FireEye - она вообще смогла обнаружить такую сложную атаку. У других компаний такие трояны живут годами.
Ну и собственно теперь мы можем использовать готовые индикаторы, чтобы тоже обнаружить у себя SolarBurst.
В итоге, что есть сейчас у Palo Alto Networks для блокировки этой угрозы:
- В IPS уже есть сигнатуры
- В модуле анализа DNS есть индикаторы (IoC) центров управления.
- В хостовой защите класса XDR уже есть поведенческие индикаторы активности инфекции (BIOC).
- В продуктах класса SOAR уже есть playbook для работы с SolarBurst. Например, Cortex XSOAR Free Edition можно сегодня поставить бесплатно.
- И также есть сервисы, когда профессионалы исследуют вашу сеть на предмет нахождения SolarStorm и вычищают его.
Таким образом Palo Alto Networks предлагает целый комплекс мероприятий по защите компании от взлома SolarWinds
понедельник, 14 декабря 2020 г.
Сигнатура от FireEye для обнаружения Solorigate и SunBurst
Внимательно читать! Про недавнюю атаку на компании через софт SolarWinds Orion я уже писал, что новую атаку сложно обнаружить, потому что она использует легитимные сервера SolarWinds, которые были тоже взломаны. И FireEye на сегодня единственная компания, которая обнаружила эту атаку на саму себя.
Их служба безопасности выпустила сигнатуру, которую нужно загрузить в свое средство защиты: IPS или NGFW. Сигнатура в формате SNORT: https://github.com/fireeye/sunburst_countermeasures/blob/main/rules/SUNBURST/snort/Backdoor.SUNBURST_2.rules
Например, можно загрузить в Palo Alto Networks NGFW через Panorama SNORT и Suricata Plugin.
Проблема с патчами очень актуальна - обычно ИТ администраторы не обновляют свои VPN шлюзы, что уж тут говорить про остальной софт.
Вот полный список уязвимостей, которые будут атаковать утилитами FireEye:
| Index | CVE | Description | CVSS |
|---|---|---|---|
| 1 | CVE-2019-11510 | Pre-auth arbitrary file reading from Pulse Secure SSL VPNs | 10.0 |
| 2 | CVE-2020-1472 | Microsoft Active Directory escalation of privileges | 10.0 |
| 3 | CVE-2018-13379 | Pre-auth arbitrary file reading from Fortinet Fortigate SSL VPN | 9.8 |
| 4 | CVE-2018-15961 | RCE via Adobe ColdFusion (arbitrary file upload that can be used to upload a JSP web shell) | 9.8 |
| 5 | CVE-2019-0604 | RCE for Microsoft Sharepoint | 9.8 |
| 6 | CVE-2019-0708 | RCE of Windows Remote Desktop Services (RDS) | 9.8 |
| 7 | CVE-2019-11580 | Atlassian Crowd Remote Code Execution | 9.8 |
| 8 | CVE-2019-19781 | RCE of Citrix Application Delivery Controller and Citrix Gateway | 9.8 |
| 9 | CVE-2020-10189 | RCE for ZoHo ManageEngine Desktop Central | 9.8 |
| 10 | CVE-2014-1812 | Windows Local Privilege Escalation | 9.0 |
| 11 | CVE-2019-3398 | Confluence Authenticated Remote Code Execution | 8.8 |
| 12 | CVE-2020-0688 | Remote Command Execution in Microsoft Exchange | 8.8 |
| 13 | CVE-2016-0167 | local privilege escalation on older versions of Microsoft Windows | 7.8 |
| 14 | CVE-2017-11774 | RCE in Microsoft Outlook via crafted document execution (phishing) | 7.8 |
| 15 | CVE-2018-8581 | Microsoft Exchange Server escalation of privileges | 7.4 |
| 16 | CVE-2019-8394 | Arbitrary pre-auth file upload to ZoHo ManageEngine ServiceDesk Plus | 6.5 |
Очередной хитрый взлом правительств и даже компании FireEye через цепочку поставок получил название Solorigate
Атака на цепочку поставок уничтожает всю выстроенную архитектуру безопасности в компании. И от нее почти невозможно защититься. Я уже упоминал выступление Александра Матросова в прошлом году на конференции Offzone, где было хорошо расписано как схема взлома работает и предлагал способы защиты политиками Zero Trust. То есть вы вроде покупаете проверенный ноутбук или сервер или софт для компании, но где-то по пути от производителя до вашего офиса есть точка, где вам встраивают закладку. И проверять поставщиков на каждом шагу почти невозможно. И неважно из какой страны ваши ИТ продукты, даже российские поставщики уязвимы.
Далее я предлагаю обсудить как контролировать поведение сети продуктами класса NTA и UEBA, поскольку без них, похоже, уже не обойтись в современном мире угроз.
суббота, 12 декабря 2020 г.
Какое будущее кибербезопасности? Выступление экспертов Palo Alto Networks
Palo Alto Networks провели конференцию и ее запись уже есть на Youtube.
02:30 Хайдер Паша: Будущее кибербезопасности 24:54 Денис Батранков: про технологии Machine Learning в NGFW: защита IoT, блокировка вредоносного кода, C&C и туннелей в DNS, фишинговых URL, оптимизатор политик 54:45 Михаил Лившиц и проекты BeCloud на базе Palo Alto Networks 1:11:08 Илья Осадчий: Будущие технологии SOC: SIRP/SOA/SOAR/TIP/XSOAR 1:38:45 Павел Живов: Миссия выполнима: защита Palo Alto Networks класса SD-WAN и SASE 2:09:09 Никита Гречаник: Защита проверки на соответствие контейнеризации и бессерверных технологий в ЦОД и облаках решением Prisma 2:28:36 Денис Батранков: Переосмысливаем архитектуру VPN доступа: как подключить сотрудника из дома используя GlobalProtect и HIPвторник, 8 декабря 2020 г.
Как купить NGFW и получить его через 48 часов
Существует поверье, что доставка устройств занимает 6-8 недель. И это верно. Однако иногда проект не может ждать. Поэтому в дело вступают виртуальные устройства. Виртуальный NGFW - это по сути софт. Это образ виртуальной машины, который можно скачать как файл запустить почти под любым гипервизором. Поставка софта - это по сути лицензия. После размещения заказа у производителя лицензия выписывается почти сразу. Соответственно, если проект срочный, например, вам нужен срочно новый VPN шлюз перед Новым годом или нужно прикрыть сетевой защитой новый объект, то вы можете взять любой сервер, поднять на нем VMware ESXi и запустить полноценный NGFW, в котором есть 20 функций безопасности и вы можете их включить и защитить свою сеть одним из 4 способов как на картинке. Плюс, есть у производителей готовые наборы конфигураций под VPN шлюз, под защиту периметра или ЦОД, и готовый конфиг можно сразу скачать и накатить. Установка NGFW в итоге займет еще час. Это удобно и вы можете защитить сеть любого масштаба.
Более подробно можно почитать в статье "Реальная защита виртуальных сетей"
пятница, 13 ноября 2020 г.
Gartner в очередной раз признал решение Palo Alto Networks лучшим в категории межсетевых экранов
Больше 10 лет компания Palo Alto Networks исследует проблемы безопасности и разрабатывает инновационные решения, включая межсетевые экраны нового поколения. Важно, что лидерство заключается не только, в том, что тебя выбирает рынок, еще и в стратегическом видении как защищать от угроз в будущем. И это не пустые слова: именно Palo Alto Networks придумала NGFW и весь рынок пошел в этом направлении.
9 ноября 2020 Gartner девятый раз подряд подтвердил лидерство Palo Alto Networks как разработчика и поставщика решений по защите корпоративных сетей межсетевыми экранами нового поколения. Всему нашему офису приятно, что наша компания отмечена выше всех и по функционалу и по видению и по отзывам заказчиков в Магическом Квадрате.
Мы развиваем защиту во всех направлениях: облака, удаленная работа из дома, защита устройств IoT, сетей 4G/5G и ICS/SCADA, балансировка каналов удаленных офисов встроенным SD-WAN. Наша цель: визуализация того кто и что делает в сети и защита каждого приложения от угроз. Мы называем это безопасное разрешение приложений. Это может быть определение туннелей в DNS, защита от утечек встроенным сетевым DLP, анализ контента в расшифрованном SSL/TLS трафике, интеграция с собственным и сторонними поставщиками индикаторов компрометации и TIP.
Нашим достижением является интеграция Machine Learning в межсетевой экран. В последней 10 версии нашей платформы безопасности более 70 новых функций, которые позволяют блокировать новые угрозы в DNS, HTTP, SMB анализируя файлы встроенным ML, обнаруживать типы IoT устройств, защищать от фишинга и контролировать утечки DLP и так далее.
За последние два месяца Palo Alto Networks также была названа лидером в трех других аналитических исследованиях: The Forrester Wave: Enterprise Firewalls Q3’20, and The Forrester Wave™: Zero Trust eXtended Ecosystem Platform Providers, Q3 2020. И мы лидер в 2020 Gartner WAN Edge Infrastructure Magic Quadrant.
Вы можете ознакомиться с результатами Garter Magic Quadrant for Network Firewalls.
пятница, 30 октября 2020 г.
Как исправить ошибки детских VPN в корпоративной сети
Детcкий VPN
- Логин и пароль единственное, что нужно знать для проникновения в сеть.
- Рабочая станция дома никак не защищается и любой хакер попавший на компьютер мгновенно узнает логин и пароль на VPN и следующим шагом попадает в сеть компании с полными правами данного сотрудника.
- Сетевое подключение внутри сети никак не защищается и любой сотрудник компании может делать все что угодно: забирать файлы, оставлять файлы, копировать информацию компании или уничтожать.
Такой VPN называется тоже детским. Обычно это значит, что автор этой дыры в безопасности просто прочитал документацию к каком-то шлюзу, например, это часто OpenVPN и собственно реализовал этот дырявый VPN для своей компании. Да, решение ставится методом next-next-finish, но дает доступ не только сотрудникам, он и всем-всем-всем.
Взрослый VPN: MFA, HIP, NGFW
Соответственно, исправление ситуации достигается изменением и повышением безопасности всех трех ошибочных пунктов.
1. MFA. Двухфакторная аутентификация
Кража и подбор логина и пароля является частой атакой и применяется постоянно. Чтобы минимизировать эту угрозу нужно использовать второй фактор. В современных VPN существует компонент, который позволяет добавить проверку сообщения на телефоне, и это рекомендуется делать. Лидером игроками здесь является компания Okta, но я приведу весь квадрат Gartner где показаны другие проекты позволяющие реализовать второй фактор. Есть еще одна частая ошибка - сертификат считают вторым фактором. Однако он хранится на компьютере жертвы и его нельзя считать за второй фактор. Второй фактор должен быть обязательно на стороннем устройстве.
2. HIP и XDR. Comliance проверки.
Рабочая станция дома - это точка наивысшей опасности. То что мы дали сегодня людям возможность подключаться не с рабочих машин, а с домашних компьютеров - в общем уже большая дыра в безопасности. А то что мы еще и не контролируем ничего там - это просто epic fail. Но главное не бояться! Все поправимоСуществуют реально два механизма, которые могут нам помочь дома
- проверка состояния хоста клииентом VPN
- проверка состояния хоста специализированной защитой EDR/XDR
Host Information Profile позволяет шлюзу VPN убедиться, что вы подключаетесь с рабочей станции, на которой выполнены минимальные проверки безопасности. Для вас этот фукнционал может быть неожиданностью, однако это стандартные функции корпоративного VPN, который предоставляют такие лидеры рынка VPN как Palo Alto Networks.
EDR/XDR позволяет постоянно контролировать что происходит на рабочей станции, блокировать угрозы и расследовать инциденты, если требуется.
Если вы будете проверять обоими методиками, то вы создадите серьезные проблемы злоумышленнику. Начните!
3. NGFW
Сам VPN клиент архитектурно может приземлять ваши IPSEC туннели в сеть и сразу давать доступы к нужным ресурсам: серверам, рабочим станциям. Однако это неверно с точки зрения безопасности - архитекторы приземляют VPN сегодня в NGFW. NGFW это многофункциональное устройство и оно не просто дает вам доступ в сеть как VPN шлюз, но и контролирует домашнего пользователя: что он делает, каким приложением, какие файлы забирает, нет ли там вирусов или не производит ли он сканирование сети. Если вы не используете NGFW для контроля действий сотрудников, которые подключены по VPN, то любой человек делает в сети что ему заблагорассудится, а если это хакер, то он вам всемерно благодарен.
По идее все эти три пункта сделать несложно, но нужно постоянно контролировать изменения, ведь у вас меняются люди, меняется архитектура подключений.
И еще тонкость
И в заключение важно заметить, что удаленный доступ выявил одну проблему: никто никогда не планировал в компаниях доступы сотрудников. Часто все доступно всем. В случае с удаленным доступом из дома это создало катастрофический объем возможностей для злоупотреблений. В случае, когда люди работали из офиса, то это было незаметно, а вот сейчас, когда человек из дома имеет ко всему, причем ненужному ему по работе - это то, что нужно минимизировать. Обсудите этот проект в своей компании и займитесь минимизацией привилегий. И это срочно!
С 1 января 2021 банки должны перевести межсетевые экраны в режим анализа приложений по ГОСТ ЦБ 57580
В стандарте Центрального Банка ГОСТ 57580 существует несколько пунктов, где упоминается межсетевое экранирование на прикладном уровне, например, в разделе 7.3. ЦБ говорит, что с 1 января 2021 года эти требования УЖЕ должны быть выполнены для банков России. Но проблема в том, что у многих банков стоят устаревшие межсетевые экраны, в которых включение анализа трафика на уровне приложений просто невозможно - у них не хватает производительности. Продвинутые банки делали весь этот год проекты по замене межсетевых экранов на более производительные. Хитрые банки сделали проще - они просто выключили все функции анализа и с выключенной функциональностью межсетевые экраны тянут нужные скорости. Но с 1 января эти банки так сделать не смогут - нужно будет показывать свои настройки во время аудита и возникнет вопрос как быть - ведь сеть просто упадет при включении любой дополнительной функции: анализ приложений и файлов в них - это очень нагрузочная операция для процессора любого устройства.
воскресенье, 11 октября 2020 г.
Минимизация рисков использования DNS-over-TLS (DoT) и DNS-over-HTTPS (DoH)
Защита от DoH и DoT
Что такое зашифрованный DNS?
DNS over HTTPS (DoH)
Риски, связанные с DoH
Обеспечение видимости и контроля трафика DoH
DNS over TLS (DoT)
Риски, связанные с DoT
Обеспечение видимости и контроля трафика DoT
понедельник, 7 сентября 2020 г.
Как выглядит "Рубильник для Интернет"
