Приложения и пользователи - это новые критерии для правил NGFW. Протестируйте как они работают!

Самый частый мой проект: NGFW. Да, я участвуют в настройке XSOAR (очень крутая штука), часто помогаю разобраться с XDR (модный и реально полезный продукт для защиты рабочих станций от взломов и разбора инцидентов) и даже вижу как работают коллеги с MDR (сервис такой). 

Что я вижу: часто при выборе устройства все-в-одном, будущие пользователи тестируют не новые фичи,  а то, что они знают. Ну то есть сетевики - просят показать им маршрутизацию и VLANы c LACP и самые продвинутые просят HA потестить. Безопасники - просят показать IPS и интеграцию с DLP. 

Новинки, которые реально есть в NGFW: визуализация кто что делает, удобство написания правил по приложениям L7, удобство разграничения доступа по группам пользователей - это почему-то всегда уходит из рассмотрения и начинает тестировать лишь только после покупки. Причина - эти функции люди узнают уже на курсах. Это реально сложный функционал, который не только сложно понять, но и стремно начать включать: а вдруг это не работает! И это правда: оно часто не работает! И именно это и надо проверять, но _до_ приобретения, а не после. В принципе я работают над этим и занимаюсь просветительской деятельностью: мы проводим практические работы, которые красиво называются тест драйв, мы просто читаем лекции, и вообще я записываю различные видосы. Вот еще один видеоролик запилил просветительский. ) Как вам? )

Публично доступные песочницы для проверки zero-day

Современные атакующие редко используют старые виды вредоносного кода для атак. Под каждого человека создается свой собственный вирус. То есть, если идет направленная атака на ваших топ-менеджеров или бухгалтеров или администраторов, то каждому пришлют его личную версию вредоносного кода по электронной почте. Да, вот такой вот персональный подход!

Бывает, что присылают ссылку в письме или в форуме: ссылка на файл одна и та же, но каждый раз кликая на эту ссылку, сайт генерирует каждому зашедшему свою модификацию файла. 

Это создает сложности для производителей антивирусов: в их базах этого экземпляра нет и нужно как-то этот каждый новый пришедший в компанию файл проверить. Для этого создаются специальные автоматические механизмы проверки. Раньше на слуху был эвристический анализ, в 2020 году новинкой стало то, что продвинутые производители используют модели полученные от Machine Learning для определения вредоносного кода внутри NGFW прямо на лету. Также ML активно применяется для обнаружения фишинговых URL и вредоносных DNS доменов и даже устройств IoT.  

Однако, в современных организациях уже около 10 лет основным средством выявления новых и неизвестных видов вредоносного кода является технология под названием песочница или по-английски sandbox. Обычно это облачный сервис, который получает каким-то образом ваш файл на проверку и в ответ возвращает вердикт: хороший или вредоносный. Песочницам нужно нужно несколько минут, чтобы проверить файл, потому что они реально запускают его, если это исполняемый файл и реально просматривают его, если это документ. Если во время работы с файлом, будут замечены какие-то вредоносные действия, то файл будет помечен как вредоносный и этот вердикт, вместе со всеми "анализами" его работы будет вами получен.

Иногда открытием для людей является то, что вредоносный код может быть встроен в неисполняемые файлы DOC, PDF, XLS. Поскольку это частое заблуждение, то его активно используют хакеры. Поэтому нужно также проверять в песочницах неисполняемые файлы. Эти файлы внутри себя песочницы загружают в соответствующие программы просмотра Microsoft Word или Adobe Reader разных версий и проверяют не происходит ли при этом вредоносных действий. Обычно это связано с докачкой другого кода или использованием уязвимостей программ-просмотрщиков, что позволяет запустить произвольные команды. Хорошим примером является Microsoft Word - его файлы часто используют в атаках.

Что не хватает современным песочницам, на мой взгляд, так это информирования пользователей о популярных программах. Часто на проверку уходит уже известная утилита, и песочницы могли бы не только возвращать вердикт, что это хороший файл, но и что это именно эта утилита. Такая информация часто нужна администратору.

Можно ли попробовать такую песочницу сейчас? Да, есть общедоступные сайты, где вы можете свой файл попросить проверить. 

https://www.virustotal.com/

Самым известным сервисом проверки является virustotal.com. Он позволяет также проверить информацию по URL и также позволяет делать поиск по IP, DNS и также хешу файла. Песочницы обычно совмещены с антивирусом: сначала механизм анализа проверяет файл на наличие сигнатуры или хеша в базе и, если в базе данных, про этот файл нет информации, то он отправляется на проверку в песочницу. Песочница чаще всего - это виртуальная машина, в которой файл запускается или просматривается. И в процессе работы идет анализ поведения: какие файлы создаются, какие подключения осуществляются и т.д. и затем на основе поведенческого анализа принимается решение ведет ли себя этот файл вредоносно. Например, если он начал зашифровывать файлы, то такое поведение вредоносное и мы помечаем файл как криптолокер.

Для проверки я выбрал хороший файл putty.exe, который я скачал с сайта разработчика. 

Видно, что часть движков считает этот исполняемый файл вредоносным! Почему так? Потому что у песочниц есть один минус: они дают ложные срабатывания. И как быть вам? Обычно, если уважаемые вами производители говорят, что это хороший файл, то им стоит доверять. Если какой-то неизвестный вам поставщик говорит, что это вредоносное поведение, то стоит это сообщение проигнорировать. Как в примере ниже.

Если все движки сказали, что все ок, то с большой вероятностью все ок. Но есть нюансы. ) Существуют специальные методики обнаружения что ты запущен в песочнице, поэтому не всегда такой метод анализа как запуск внутри виртуальной машины - достоверен. Лучше всего запускать вредоносный код на реальной рабочей станции и результат будет более точным. Такая методика получила название bare metal analysis и предоставляется некоторыми мировыми производителями.

Есть еще один вид песочниц: локальные. Они выглядят как обычный сервер, на котором стоят виртуальные машины. Внутри них и запускаются тестируемые образцы и анализируется их поведение. Часто встречаю заблуждение, что локальная и облачная песочница имеют одинаковый функционал. Это ошибочно, потому что облачные решения всегда имеют больше функций и возможностей, например, вышеупомянутый bare metal analysis. Именно поэтому детектирование вредоносного кода в облаке более точное, чем детектирование вредоносного кода на локальной песочнице. Если вы правда хотите искать zero day в своей компании, то использование только локальных песочниц - недостаточно.

https://virustest.gov.ru/

Недавно открылся наш национальный сервис проверки, который предоставляется также бесплатно.

Я также загрузил в него тестовый файл putty.exe и меня удивило, только, что песочницы запустились. Загружал несколько раз этот файл и несмотря на то, что файл каждый раз одинаковы песочницы запускались снова и снова. Хотя смысла проверять один и тот же файл уже не было.

В государственном сканере используются движки трех (на дату написания статьи 23 марта 2021) наших российских производителей песочниц.

по прошествии времени тестирование было завершено. и тут с putty все ок.

Также этот сервис бесплатен и вы можете проверить свой файл и на сайте Касперского.

https://opentip.kaspersky.com/

Он называется Threat Intelligence Portal, что означает вы можете не только проверять файлы, но и получать информацию об индикаторах компрометации, таких как IP, DNS, URL, хеш на данном портале. Обычно такие данные нужны при расследовании инцидентов.

Также важно упомянуть песочницы корпоративного уровня компаний Palo Alto Networks, Trend Micro, Check Point, FireEye.

https://wildfire.paloaltonetworks.com/

Например, можно пользоваться песочницей Wildfire компании Palo Alto Networks. Единственно тонкостью - вы должны быть заказчиком, то есть у вас должен быть логин и пароль для входа.
И тогда вам доступен этот портал. Но существует lifehack - движок анализа Palo Alto Networks используется на virustotal.com, там компания предоставила свой движок анализа exe файлов.

Здесь песочница не стала запускать putty.exe, просто сказала, что файл известный и понятный и хороший.

Типы файлов

Важно также какие типы файлов проверяет песочница. Вредоносный код есть для всех операционных системах Windows, MacOS, Linux, iOS, Android и так далее. В них исполняемые файлы имеют разный формат. Неисполняемые файлы обычно не зависят от операционной системы и они проверяются обычно на базе Windows и приложений под Windows, поскольку это самая популярная операционная система в мире.

А как забирать файлы на проверку

Тот способ, что использовали мы - ручная загрузка на сайт. Однако в реальных корпоративных сетях это нужно делать быстрее и автоматически. Соответственно должен быть какой-то механизм, который забирает файлы с рабочих станций или прямо из сетевого трафика и отправляет на проверку. Об этом будет другая статья.

Если вам нужна консультация по информационной безопасности - пишите denis@batrankov.ru. 

Я уже более 25 лет помогаю людям и компаниям строить архитектуру безопасности и выбирать нужные решения.

В Palo Alto Networks NGFW добавили поддержку Unified Messaging Application Services (UMAS) который обычно связан с Schneider Electric Programmable Logic Controller (PLC)

Palo Alto Networks NGFW активно применяется для защиты сетей ICS/SCADA электроэнергетики, нефтяной и газовой промышленности и многих других предприятий и организаций. Проверенная временем надежность и удобство единого управления - то что нужно таким сетям. Возможность определять тип приложения и даже тип устройства по трафику является ключевой функцией NGFW и активно применяется для написания политик доступа и снижения поверхности атаки на предприятиях. Поэтому функционал APP-ID, который используется для этого постоянно развивается.

В Palo Alto Networks NGFW добавили поддержку Unified Messaging Application Services (UMAS) который обычно связан с Schneider Electric Programmable Logic Controller (PLC)

• umas-base
• umas-init-comm 
• umas-plc-reservation-take 
• umas-plc-reservation-release
• umas-memory-block-read
• umas-memory-block-write
• umas-variables-read 
• umas-variables-write 
• umas-coils-registers-read
• umas-coils-registers-write
• umas-initialize-upload 
• umas-upload-block
• umas-initialize-download 
• umas-download-block
• umas-sd-backup-make
• umas-sd-backup-restore 
• umas-sd-backup-remove 
• umas-plc-start 
• umas-plc-stop 
• umas-repeat-request
• umas-monitor-bits-read 
• umas-monitor-bits-write
• umas-monitor-words-read 
• umas-monitor-words-write
• umas-io-object-write 

Более подробно в статье Дмитрия Ярушевского 

Пограничные сервисы безопасного доступа: Secure Access Service Edge (SASE) это NaaS + SecaaS

Пограничные сервисы безопасного доступа: Secure Access Service Edge (SASE)

Ваши сотрудники подключаются через сеть Интернет и к ресурсам компании и вообще к любому сервису в мире? Как вы их защищаете от угроз? Вы включаете различные функции фильтрации трафика, такие как CASB, NGFW, SWG и оптимизируете маршруты с SD-WAN. 

Когда сотрудник находится внутри офиса, как в крепости, то вам помогает периметровая защита, а когда сотрудники уезжают в другую страну, то возникают задержки, если ему нужно подключаться в офис для получения всех функций защиты. Как переместить периметр защиты ближе к сотруднику, чтобы минимизировать задержки? 

Есть два варианта защиты удаленных филиалов и мобильных сотрудников:

1. Реализация сетевых функций и функций безопасности  может выглядеть как набор железа и софта у вас в офисах или прямо дома у сотрудника. И это ваш CAPEX. 

2. Использование безопасности и сетевых услуг из облака по подписке. И это уже OPEX. Обычно такие сервисы упоминаются на безопасность как сервис - Security as a Service (SecaaS) и сеть как сервис - Network as a Service (NaaS). Gartner именно так определил SASE в 2019 году - это NaaS + SecaaS.

Среди основных функций, которые Gartner упоминает внутри SASE это Zero Trust Networks Access (ZTNA), CASB и SD-WAN. То есть это не одна услуга, а набор услуг из облака, которыми вы можете управлять.

80% SASE продается через MSS интернет провайдеров, таких как British, Orange, Accenture. Они используют SASE, чтобы предоставить вам MSS услуги. Плюсом для вас является то, что они сами управляют этим сервисом. Вы можете купить SASE у различных производителей независимо от провайдера, и тогда уже вы сами будете управлять этим сервисом. Например, у Palo Alto Networks этот сервисный продукт по защите ваших мобильных сотрудников и филиалов предоставляется через набор продуктов Prisma Access, Prisma Cloud, Prisma SaaS и Prisma SD-WAN, в зависимости от ваших задач.

Прелесть SASE

• авто-масштабирование: теперь облако само тебе масштабирует производительность системы защиты;
• гарантия производительности: теперь не надо мучаться с выбором модели с нужной производительностью, даже если ты включил все функции включая SSL Decrypt и все сигнатуры, то защита предоставляется на заданной скорости;
• минимальные задержки: облачные сервисы теперь работают с минимальными задержками, из-за наличия средств оптимизации маршрутов трафика внутри SASE;
• доступность во всех странах: сервис Prisma Access, например, реализован из 100 стран сразу и поэтому для международных компаний это находка;
• скорость развертывания: теперь не нужно ждать покупки, доставки и настройки устройства - можно сразу подключить ВСЕ офисы во ВСЕХ странах;
• IoT устройства можно защитить через SASE.

Комментарии по SASE и как это выглядит для клиента

Что означает Zero Trust Network Access (ZTNA)

Основным отличием защищенного удаленного доступа является наличие ZTNA.

Сравните
1. Вы подключаете по IPSEC весь офис в Бразилии в свой офис в Москве. Любой хост из офиса в Бразилии может видеть любой хост в офисе в Москве? Удобно? А безопасно?

2. Вы подключаете по IPSEC весь офис в Бразилии в свой офис в Москве. Только избранные сотрудники и устройства в бразильском офисе могут подключаться к нужным для них приложениям в сети. Это принцип Zero Trust и это то, что сейчас формирует безопасность. 
И второе - это то что и называется ZTNA. Вы даете конкретным сотрудникам доступ к конкретным приложениям, а для этого ваше средство защиты должно понимать на каком IP адресе сейчас работает какой сотрдуник и какое приложение он сейчас использует. И конечно этот функционал сейчас содержат NGFW. Поэтому основа ZTNA это NGFW.
Кроме того сотрудников над проверять, что их устройства соответствуют политике компании и защищены: там работает антивирус, бекап, шифрование диска и это все последних версий и активно. Такой функционал обычно встраивают в клиент VPN. В клиенте Global Protect он называется HIP.

ZNTA означает, что вы начинаете видеть

• пользователя
• его роль (группу)
• приложение
• HIP состояние компьютера
• cтрану
• время доступа
• риск из системы NTA/UEBA/DLP

А зачем SD-WAN?

Сейчас удаленные офисы подключают через SD-WAN, чтобы снизить число проблем у приложений при изменении качества каналов. И для ИТ службы это выливается в снижение число кейсов в helpdesk в 100 раз. 

А что еще интересного?

Появилась новая функция Digital Experience Management, которая позволяет каждому сотруднику разобраться почему не работает приложение: глючит его wifi точка, глючит провайдер, или глючит сам сервис компании. Например, это делает компания https://www.sinefa.com/

Еще более точно Gartner пишет, что SASE Components:

Core Components: SD-WAN, SWG, CASB, ZTNA and FWaaS, all with the ability to identify sensitive

data/malware and all with the ability to encrypt/decrypt content at line speed, at scale with

continuous monitoring of sessions for risk/trust levels.

Recommended Capabilities: Web application and API protection, remote browser isolation,

recursive DNS, network sandbox, API-based access to SaaS for data context, and support for

managed and unmanaged devices.

Optional Capabilities: Wi-Fi hot spot protection, network obfuscation/dispersion, legacy VPN, and

edge computing protection (offline/cached protection).

Полная запись конференции по SASE

Как защищать контейнеры Docker и Kubernetes

В вашей компании наверняка есть программисты, которые используют контейнеры. Часто очень удобно, когда код не монолитный, а разбит на множество мелких контейнеров с определенным функционалом, которые общаются друг с другом. Из-за возросшего числа готовых удачных контейнеров с нужным функционалом в Интернет и простоте работы технология мгновенно была принята сообществом разработчиков. Цели бизнеса - делать быстро и качественно и контейнеризация здесь стала удачным решением. 

Одновременно с ростом применения, растет и число угроз. У множества контейнеров есть уязвимости, вам нужно контролировать, что в вашей компании их нет, либо эти уязвимости прикрыты средствами защиты.

В России первой компанией, кто стал использовать защиту контейнеризации Prisma Cloud стал Росбанк. И за 2020 год было уже множество проектов в крупных организациях, которые осознали угрозы ИБ.

Что делает Prisma Cloud для защиты контейнеров:
- изучается поведение контейнеров и автоматически создаются списки доступа;

- анализ уязвимостей в контейнерах на основе собственной базы;

- живая картина взаимодействий контейнеров и подсказки по уязвимым местам;

- предотвращение в режиме реального времени на основе анализа аномалий и знаний уязвимостей;

- проверка соответствия нормативным требованиям;

- интеграция с процесс CI/CD;

- контроль доступа.

Что делает CN-Series NGFW для защиты контейнеров:

- анализирует соединения между контейнерами и с внешним миром;

- включает функционал защиты, который есть в обычных NGFW: IPS, антивирус, контроль приложений и т.д.

Видеопрезентация с демонстрацией NGFW и Prisma Cloud

Презентация по Prisma Cloud

Больше информации по Palo Alto Networks узнать на странице Netwell,  также на странице Tiger-Optics. Это официальные дистрибьюторы продуктов, которые также предоставляют цены и техническую поддержку.

Какую задачу решают продукты класса Deception

Недавно появился класс продуктов, который относится к классу DDP (Distributed Deception Platform). Такой продукт позволяет дополнить имеющиеся решения EDR, XDR, NTA и на начальном этапе обнаружить lateral movement хакера по своей сети. Для перемещения между компьютерами сотрудников и между сетями используются уже имеющиеся аккаунты в системе и поэтому злоумышленника сложно отличить от собственного сотрудника. В этом проблема распознавания lateral movement, что все действия производятся от аккаунта легитимного сотрудника. Но ведь уже были HoneyPot раньше. Этот новый класс продуктов отличается от решения класса HoneyPot тем, что он располагает специальные приманки не в каком-то отдельном сегменте сети, куда хакер должен (почему-то) прийти, а прямо на каждом компьютере. В английском языке такие приманки называют traps, decoy и lure. Приманкой может служить файл или аккаунт пользователя, который в обычной жизни компании не используется, но для хакера может быть привлекателен тем, что он может быть аккаунтом администратора или бухгалтера или в файле могут быть нужные ему данные. Поскольку приманка на виду, то вероятность, что злоумышленник "клюнет" увеличивается. Эти приманки не требуют установки агентов, могут распространяться через GPO, и они контролируются системой управления и доступ к ним или подбор пароля к ним будет означать, что кто-то "поймал наживку" - мы начинаем реагировать.

Обсуждение решений данного типа в записи доступно тут.

Пилот NGFW. Какие функции проверять?

Краткий обзор функций NGFW, которые нужно проверять во время пилота.

Видео было сделано для партнеров Palo Alto Networks, чтобы показать что нужно обсудить с заказчиками, чтобы показать минимальный функционал.

Также видео подходит и заказчикам, чтобы объяснить интеграторам какой функционал нужен. )

Атаки на VPN будут продолжаться

 

Откройте любой новостной портал, например, securitylab.ru и почитайте новости: хакеры и белые и черные постоянно ищут уязвимости в VPN шлюзах и что не удивительно находят. И тут есть две проблемы:

- производители сетевого оборудования оказываются уязвимы и можно взломать компанию через VPN;

- сотрудники компаний не следят за уязвимостями своего оборудования и не обновляют прошивки, даже если уязвимость уже устранена и есть обновление.

Что нужно делать? Поступать как хакер: постоянно сканировать свои внешние адреса и искать уязвимости. Как только уязвимости найдены - сразу устранять. Нужно выделить специальную группу сотрудников для этого, или хотя бы одного человека, или, наконец, нанять внешнюю компанию. Оставлять эту проблему без внимания можно, только если вам не жалко вашу внутреннюю информацию.

Если вы сетевой администратор, то сегодня же проверьте, что версии VPN шлюза или NGFW (на котором обычно работает VPN шлюз) не содержат публично известных уязвимостей. Также начните использовать двухфакторную аутентификацию и HIP.

Методы обнаружения взломанного SolarWinds

Вообще взлом SolarWinds в 2020 году ничем не отличается, похоже, от взлома M.E.Doc в 2017 году. Если компанию M.E.Doc взломали просто украв логин и пароль сотрудника, то SolarWinds можно было взломать простым подбором, ведь пароль для доступа был solarwinds123. И это доступ уже продавали в 2017 году.

Причем, взлом, M.E.Doc был более профессионален, поскольку для управления бот-сетью использовались те же сервера M.E.Doc и пакеты с командами хакера ничем не отличались от потока пакетов с обновлениями M.E.Doc. Понятно, что если бы был NTA, то можно было бы.. но это уже другая история..

Здесь же для взлома FireEye попробовали скачать CobaltStrike, что в общем их и обнаружило (по словам FireEye, я уверен, что всей правды мы никогда не узнаем). К чести компании FireEye - она вообще смогла обнаружить такую сложную атаку. У других компаний такие трояны живут годами.

Ну и собственно теперь мы можем использовать готовые индикаторы, чтобы тоже обнаружить у себя SolarBurst.

В итоге, что есть сейчас у Palo Alto Networks для блокировки этой угрозы:

- В IPS уже есть сигнатуры 

- В модуле анализа DNS есть индикаторы (IoC) центров управления.

- В хостовой защите класса XDR уже есть поведенческие индикаторы активности инфекции (BIOC).

- В продуктах класса SOAR уже есть playbook для работы с SolarBurst. Например, Cortex XSOAR Free Edition можно сегодня поставить бесплатно.

- И также есть сервисы, когда профессионалы исследуют вашу сеть на предмет нахождения SolarStorm и вычищают его.

Таким образом Palo Alto Networks предлагает целый комплекс мероприятий по защите компании от взлома SolarWinds

Сигнатура от FireEye для обнаружения Solorigate и SunBurst

Внимательно читать! Про недавнюю атаку на компании через софт SolarWinds Orion я уже писал, что новую атаку сложно обнаружить, потому что она использует легитимные сервера SolarWinds, которые были тоже взломаны. И FireEye на сегодня единственная компания, которая обнаружила эту атаку на саму себя. 

Их служба безопасности выпустила сигнатуру, которую нужно загрузить в свое средство защиты: IPS или NGFW. Сигнатура в формате SNORT: https://github.com/fireeye/sunburst_countermeasures/blob/main/rules/SUNBURST/snort/Backdoor.SUNBURST_2.rules

Например, можно загрузить в Palo Alto Networks NGFW через Panorama SNORT и Suricata Plugin.

FireEye выложила на GitHub также список тех продуктов, которые они атаковали своими утилитами и он под угрозой. В основном надо быть осторожным тем, у кого Pulse и Fortigate SSL VPN, Microsoft RDP, Exchange и Outlook и также Citrix ADC и Gateway, Zoho ServiceDesk. 

Проблема с патчами очень актуальна - обычно ИТ администраторы не обновляют свои VPN шлюзы, что уж тут говорить про остальной софт.

Вот полный список уязвимостей, которые будут атаковать утилитами FireEye:

Index	CVE	Description	CVSS
1	CVE-2019-11510	Pre-auth arbitrary file reading from Pulse Secure SSL VPNs	10.0
2	CVE-2020-1472	Microsoft Active Directory escalation of privileges	10.0
3	CVE-2018-13379	Pre-auth arbitrary file reading from Fortinet Fortigate SSL VPN	9.8
4	CVE-2018-15961	RCE via Adobe ColdFusion (arbitrary file upload that can be used to upload a JSP web shell)	9.8
5	CVE-2019-0604	RCE for Microsoft Sharepoint	9.8
6	CVE-2019-0708	RCE of Windows Remote Desktop Services (RDS)	9.8
7	CVE-2019-11580	Atlassian Crowd Remote Code Execution	9.8
8	CVE-2019-19781	RCE of Citrix Application Delivery Controller and Citrix Gateway	9.8
9	CVE-2020-10189	RCE for ZoHo ManageEngine Desktop Central	9.8
10	CVE-2014-1812	Windows Local Privilege Escalation	9.0
11	CVE-2019-3398	Confluence Authenticated Remote Code Execution	8.8
12	CVE-2020-0688	Remote Command Execution in Microsoft Exchange	8.8
13	CVE-2016-0167	local privilege escalation on older versions of Microsoft Windows	7.8
14	CVE-2017-11774	RCE in Microsoft Outlook via crafted document execution (phishing)	7.8
15	CVE-2018-8581	Microsoft Exchange Server escalation of privileges	7.4
16	CVE-2019-8394	Arbitrary pre-auth file upload to ZoHo ManageEngine ServiceDesk Plus	6.5

Очередной хитрый взлом правительств и даже компании FireEye через цепочку поставок получил название Solorigate

Атака на цепочку поставок уничтожает всю выстроенную архитектуру безопасности в компании. И от нее почти невозможно защититься. Я уже упоминал выступление Александра Матросова в прошлом году на конференции Offzone, где было хорошо расписано как схема взлома работает и предлагал способы защиты политиками Zero Trust. То есть вы вроде покупаете проверенный ноутбук или сервер или софт для компании, но где-то по пути от производителя до вашего офиса есть точка, где вам встраивают закладку. И проверять поставщиков на каждом шагу почти невозможно. И неважно из какой страны ваши ИТ продукты, даже российские поставщики уязвимы.

И сегодня многие новостные каналы будут обсуждать взлом правительственных организаций, компании по безопасности FireEye и других компаний мирового уровня. Это произошло посредством встраивания троянской программы в обновления софта Orion компании SolarWinds.  К чести компании FireEye она по сути единственная, кто смог вообще обнаружить эту закладку. Они оповестили весь мир и мы теперь с этим разбираемся. Компания Микрософт уже нарисовала картинку как это работает:

По информации самой компании SolarWinds у нее более 300000+ заказчиков и кто из них получил такую троянскую программу нам еще предстоит узнать. В рекламе на сайте SolarWinds в списке заказчиков упоминается Ciscо и Apple.

На самом деле многие компании ломают через партнеров и даже собственные удаленные офисы и конечно через удаленный доступ собственных сотрудников: вы им доверяете по умолчанию и не предполагаете, что ваш старый поставщик или ваш собственный сотрудник будет вас атаковать. Считаю, что 2021 год станет годом пересмотра доверия своим старым поставщикам, перехода к схеме доверия "доверяй, но проверяй" или Zero Trust. Вот так меняется мир.

По такой же схеме в 2017 году был взломан софт популярной бухгалтерской программы M.E.Doc, и затем все пользователи этой программы были скомпроментированы и управлялись уже хакером через управляющие сервера M.E.Doc, что было почти невозможно обнаружить. 

Посмотрите этот короткий ролик про то как правильно делать удаленный доступ к своей сети и почему важно НЕ выставлять свои приложения напрямую в Интернет.

Далее я предлагаю обсудить как контролировать поведение сети продуктами класса NTA и UEBA, поскольку без них, похоже, уже не обойтись в современном мире угроз.

Какое будущее кибербезопасности? Выступление экспертов Palo Alto Networks

Palo Alto Networks провели конференцию и ее запись уже есть на Youtube.

02:30 Хайдер Паша: Будущее кибербезопасности 24:54 Денис Батранков: про технологии Machine Learning в NGFW: защита IoT, блокировка вредоносного кода, C&C и туннелей в DNS, фишинговых URL, оптимизатор политик 54:45 Михаил Лившиц и проекты BeCloud на базе Palo Alto Networks 1:11:08 Илья Осадчий: Будущие технологии SOC: SIRP/SOA/SOAR/TIP/XSOAR 1:38:45 Павел Живов: Миссия выполнима: защита Palo Alto Networks класса SD-WAN и SASE 2:09:09 Никита Гречаник: Защита проверки на соответствие контейнеризации и бессерверных технологий в ЦОД и облаках решением Prisma 2:28:36 Денис Батранков: Переосмысливаем архитектуру VPN доступа: как подключить сотрудника из дома используя GlobalProtect и HIP

Как купить NGFW и получить его через 48 часов

Существует поверье, что доставка устройств занимает 6-8 недель. И это верно. Однако иногда проект не может ждать. Поэтому в дело вступают виртуальные устройства. Виртуальный NGFW - это по сути софт. Это образ виртуальной машины, который можно скачать как файл запустить почти под любым гипервизором. Поставка софта - это по сути лицензия. После размещения заказа у производителя лицензия выписывается почти сразу. Соответственно, если проект срочный, например, вам нужен срочно новый VPN шлюз перед Новым годом или нужно прикрыть сетевой защитой новый объект, то вы можете взять любой сервер, поднять на нем VMware ESXi и запустить полноценный NGFW, в котором есть 20 функций безопасности и вы можете их включить и защитить свою сеть одним из 4 способов как на картинке. Плюс, есть у производителей готовые наборы конфигураций под VPN шлюз, под защиту периметра или ЦОД, и готовый конфиг можно сразу скачать и накатить. Установка NGFW в итоге займет еще час. Это удобно и вы можете защитить сеть любого масштаба.

Более подробно можно почитать в статье "Реальная защита виртуальных сетей"