Bi.Zone протестировал межсетевые экраны Кода Безопасности: посмотрите результаты с IPS и без

Выражаю благодарность компании Bi.Zone и Код Безопасности за достаточно смелую публикацию результатов тестирования. Поскольку я фанат NGFW и занимаюсь защитой сетей с 1998 года, то мне было интересно узнать подробности. 

PS: Ко мне обратились коллеги из Кода Безопасности.  Оказалось, что схема стенда в отчете - верна только для тестов с 5 по 10. Тесты с 1 по 3 проводились на том же стенде, где включен один межсетевой экран. По 4 тесту сейчас без схемы непонятно что там было с чем соединено и как физически и логически тестировался LAG.

Аппаратная часть

Коллеги создали мощный стенд:

• кластер из двух L3 коммутаторов Eltex MES5500-32 версия ПО — 6.6.2.9;
• кластер из двух сетевых балансировщиков DS Integrity-100G (каждый разделен логически пополам);
• кластер из 16 устройств межсетевого экранирования IPC-R3000 версия ПО — 4.1.9
• и система управления с той же версией.

Получилось всего 21 устройство. 

Схему стенда показывали сотрудники Бизон на презентации в студии 

В качестве генератора трафика были выбраны генераторы трафика Ixia Cloud Storm и Novus 100G с генератором XGS2-HSL2 с карточками L4 и L7. Напомню, что IXIA использует FPGA для ускорения работы.

Устройство IXIA.

Функционал межсетевого экрана

Само межсетевое экранирование производилось по IP портам, то есть функционал блокирования приложений движком DPI не тестировался.

Я, конечно, хотел уже дальше не читать отчет... И я думаю вы тоже.. но природная любознательность заставила... Причина проста: большинство приложений сегодня работает по 443 порту и вам обязательно нужна контентная фильтрация, потому что по портам вы либо просто запрещаете этот порт, либо просто разрешаете. И это уже не работает. Чтобы не повторяться: прошу прочитать про это статью "Межсетевой экран нового поколения - это маркетинг", где приведены какие это 173 приложения работают на 443 порту из реальной сети. То же самое с 80 портом.

Число правил для теста выбрано 1000, что подходит для небольших заказчиков.

Но поскольку производительность ожидалась 400 Гбит/с, то 1000 правил я бы поменял на 10000. Самое большое количество правил, что я видел в своей жизни - 120000. А сколько вы видели? )
Предлагаю сделать такой же тест на 10000 и 100000 правил.

Тесты

В ходе проверок было проведено 10 различных тестов.

Основные тесты это:
1. Максимальное число успешно открытых новых TCP соединений в секунду в режиме L4;
2. Максимальное число одновременных TCP соединений в памяти в режиме L4;
3. Максимальная пропускная способность в режиме L7 (DPI) без маршрутизации, с маршрутизацией, с NAT и без NAT, с IPS и без IPS; 
4. Проверка потерь сессий при выходе из строя устройства;
5. Максимальная пропускная способность в режиме L4 на UDP;
И еще пять, что описано на 11 странице отчета.

Результат 26 Гбит/с в режиме DPI и SNAT на 1 межсетевом экране

Поскольку было 73000 транзакций в секунду, то это в среднем 35Кб на транзакцию.

Сам поток трафика состоял из различных приложений, вот их список и процент разбивки в самом потоке.

19.21% 115348 байт транзакции TLS 1.2, без расширования
15.37% 26184 байт транзакции Google Search GET Home Page - я так понимаю это тоже TLS
14.09% 6267 байт транзакции Yahoo Search GET Home Page - я так понимаю это тоже TLS
12.81% 12450 байт транзакции TLS 1.2, без расшифрования 

2.56% 217403 байт транзакции GMAIL и это тоже TLS

В итоге 64% трафика был зашифрованный поток данных в TLS, в котором чаще всего нечего проверять фильтру контента, кроме TLS Handshake где можно глянуть версии TLS, SNI и URL категории. Это все не проверялось. По распределению TLS 1.2 и TLS 1.3 в интернет лучше посмотреть на сайте ssllabs.com/ssl-pulse/ на момент прочтения статьи.

Скриншот из интерфейса IXIA, где показаны настройки тестового трафика.

Результат 4 Гбит/с IPS на 1 устройстве

На мой взгляд, тестировать производительность IPS просто подачей трафика - некорректно. Нужно еще проверять, что на этом максимальном потоке трафика IPS вообще как-то работает - то есть блокирует атаки. А то, что у нас есть устройство, которое просто быстро пропускает трафик - и что? )

В других тестах мы выявляли, что при подаче трафика IPS перестает блокировать атаки. И поэтому я бы добавил еще в тест страйки IXIA. И именно так - только вместе с атаками мы понимаем максимальную производительность IPS.

Скриншот IXIA где показано сколько атак заблокировано и сколько пропущено.

Павел Луговов на конференции SSTA в Бизон отлично рассказал как правильно тестировать атаки и вирусы в трафике. Также Владислав Закревский на той же конференции показывал как падает производительность Suricata при подаче трафика.

Четыре неожиданных результата

1. Выяснилось, что сам генератор IXIA максимально может выжать 200 Гбит/с в режиме L7. Поэтому пришлось выключать генерацию трафика приложений и переходить на режим L3 без проверки, что сессии были реально уставлены. 

Если кто-то из производителей говорит, что у него больше 200 Гбит/с NGFW, то спросите их чем они трафик приложений генерировали. ;-) Вдруг yandex-tank. 

Что, в общем, совпадает с datasheet этого вендора.



2. Выяснилось, что пакетный брокер тоже пропускает не бесконечно много трафика: он достиг производительность 400 Гбит/с для двунаправленного трафика. Поэтому если вы тестируете такой трафик, то вам нужно ЧЕТЫРЕ пакетных брокера. 

3. Одна система управления не справляется с журналированием такого объема трафика: 400 Гбит/с.

4. Уперлись в ограничения BGP в коммутаторе Eltex. Ну и какие-то проблемы с ICMP (подробнее описывает 32 страница отчета).

Вывод

Ставить 16 межсетевых экранов и балансировать их - непростое решение для технических специалистов. Как написано в отчете Bi.Zone, отлаживать проблемы было почти невозможно - не проходил ICMP длиной 64 байта через стенд, не было возможности запустить сниффер трафика на Eltex. В эксплуатацию я бы такое не принял.

Тестирование на UDP трафике - это самое странное, что можно делать при выборе межсетевого экрана, ведь в реальной сети такого трафика нет. Тестировать то, чего не бывает? Чтобы что? ) Я догадываюсь, что для того, чтобы впечатлить непрофессионалов. Это все равно что, тестировать производительность поликлиники, где люди входят и сразу выходят. Очень быстрая поликлиника. Скоро видимо у нас и такие будут. А полечиться? Впрочем, я уже писал про это.

Поэтому если вам где-то пишут производительность на UDP 1500 байт (или в PPS или FPS) - шлите их лесом. Так делают Check Point и Fortinet? Вот их и шлите. Это делают их люди из маркетинга. И скажите этим людям то, что написано ниже:

Самое важное в NGFW - это
Threat Protection или Threat Prevention Troughput.

Это тот самый параметр производительности, который нужен заказчику. 

Рынок РФ должен целиться в создание высокоростных устройств: которые в одном устройстве дают нужную производительность. 

В итоге, я бы лучше купил PA-3440 две штуки и поставил в кластер HA, чем всю эту огромную конструкцию из 21 устройств. Во первых займет всего 2 юнита, во-вторых производительность даже больше в тесте trhoughput и new sessions, в третьих и питания нужно меньше. И самое главное - там будет настоящий HA где будут синхронизироваться состояния сессий. А в данном решении такого не было.

Посмотрите, число одновременных сессий у Palo Alto 3 000 000, но как мы знаем это в режиме L7, когда запоминается состояние приложений L7. Число одновременных сессий в режиме L4 и L7 отличается минимум в 10 раз, потому что в режиме L7 на состояние сессий нужен буфер большего обмена при той же памяти устройства. Поэтому 10 0000 000 сессий в тесте выше в режиме L4 будет падать до 1 миллиона сессий в режиме L7.

PS: Одна важная вещь

Когда вы смотрите datasheet или когда вы смотрите тесты независимой лаборатории, то учитывайте, что все строки - это РАЗНЫЕ тесты. Не существует такого устройства, которое одновременно дает 10 миллионов TCP сессий, одновременно при этом 150000 новых сессий и одновременно при этом 28 Гбит/с. Это все результаты трех РАЗНЫХ тестов на РАЗНОМ трафике, пусть для одного и того же устройства. Подавался разный трафик и тестировалось РАЗНОЕ. В реальной жизни эти числа достигнуты НЕ БУДУТ все одновременно.

Например, тут - три разных теста. 

Для погружения в тестирование NGFW рекомендую серию из трех видеороликов

Как проходит тестирование

Как смотрят параметры CC, CPS, Throughput разные поставщики

Разбираемся с размером транзакций через тесты NSS Labs

Как правильно оценить производительность NGFW: путеводитель по метрикам безопасности сети

Введение: аналогия с поликлиникой

Представьте себе поликлинику, способную пропускать 360 пациентов в час или одного в секунду. Звучит впечатляюще, не так ли? Но отражает ли это реальную эффективность медицинского учреждения? Конечно, нет. Ведь мы понимаем что за 1 секунду нельзя проверить здоровье человека и тем более вылечить. Это бессмысленный параметр, показывающий производительность входной двери, но не поликлиники в целом. Аналогичная ситуация складывается с оценкой производительности устройств сетевой безопасности, таких как Next-Generation Firewall (NGFW). Высокие значения пропускной способности поначалу впечатляют, а после изучения вызывают недоумение.

Ключевые факторы влияющие на производительность NGFW

1. Движки проверки трафика:
   • DPI (Deep Packet Inspection)
   • User-ID
   • IPS (Intrusion Prevention System)
   • URL-фильтрация
   • Антивирусная защита
   • Threat Intelligence
   • Песочница (Sandbox)
2. Преобразование зашифрованного трафика и сертификатов:
   • IPSEC туннели
   • SSL-шифрование

Почему "сырые" показатели скорости могут вводить в заблуждение?

Производительность NGFW, измеренная только на UDP-пакетах или в пакетах в секунду, подобна оценке работы поликлиники по скорости входа и выхода пациентов. Эти метрики не учитывают реальные процессы обработки данных и обеспечения безопасности.

На что обратить внимание при выборе NGFW?

Ключевой показатель: Threat Prevention или Threat Protection (TP)

При изучении технических характеристик (datasheet) NGFW, обратите особое внимание на параметр "Threat Prevention" или "Threat Protection". Это наиболее важный показатель, отражающий реальную скорость проверки сетевых пакетов на наличие угроз.

Заключение

Выбирая NGFW для защиты вашей сети, не поддавайтесь соблазну "сырых" показателей производительности: на UDP пакетах, Packet Per Second (PPS) Frame Per Second (FPS). Сосредоточьтесь на метриках, отражающих реальную способность устройства, чтобы затем обеспечивать комплексную защиту при реальных рабочих потоках трафика.

Для более глубокого понимания темы рекомендуем ознакомиться с видеоматериалами, демонстрирующими практические примеры оценки производительности NGFW.

Шокирующий арест Павла Дурова в Париже: основателя Telegram обвиняют в содействии преступности

Создатель мессенджера Telegram, миллиардер Павел Дуров арестован в аэропорту Парижа. Об этом сообщает французский новостной канал LCI.

Вот что пишут французы (переведено в google translate):

 «На своей платформе он допустил совершение бесчисленных правонарушений и преступлений, в отношении которых он не предпринимал никаких действий для модерации или сотрудничества», — анализирует источник, близкий к делу.

Telegram — это улей криминального контента. В настоящее время платформа фигурирует в новостях с нелегальной трансляцией матчей Лиги 1. Но на этом сервисе зашифрованных сообщений многие учетные записи используются организованной преступностью. Помимо терроризма, самые опасные дети-преступники общаются в Telegram для обмена контентом. «За долгие годы она стала платформой номер 1 для организованной преступности», — комментирует следователь.

Новинка в кибербезопасности: Киберпугало заставляет хакеров обходить ваш компьютер стороной! В чем секрет?

В мире киберугроз происходит нечто удивительное: хакеры сами стали жертвами своих собственных уловок! Как это возможно? Давайте разберёмся.

Современные вредоносные программы очень хитрые: они проверяют, установлены ли на компьютере средства анализа, такие как отладчики или виртуализация. Если такие инструменты обнаружены, вредоносное ПО просто останавливается, думая что его уже обнаружили или что оно работает в песочнице для анализа.

И на сцену выходит Киберпугало — ваш защитник в мире киберугроз! Эта программа работает в фоновом режиме, «подделывая» индикаторы работы защитных средств. Вредоносные программы начинают думать, что ваш компьютер не подходит для атаки и не запускаются.

- Киберпугало запускает поддельные процессы, которые выглядят как инструменты для анализа безопасности, но на самом деле ничего не делают.

- Киберпугало создает фиктивные записи в реестре Windows, создавая иллюзию, что на вашем компьютере установлены средства защиты.

Это только начало! Уже сейчас Scarecrow демонстрирует потрясающие результаты.

В мире кибербезопасности важно быть на шаг впереди. Киберпугало —  ваш надежный союзник в борьбе с вредоносными программами. Читайте блог, чтобы узнать больше о том, как защитить себя в этом опасном цифровом мире!

Почему в datasheet у NGFW производительность одна, а потом в реальной сети - другая.

Сегодня был интересный разговор в чате по NGFW

Пользователи спрашивают: 

1. Почему в datasheet у NGFW производительность одна, а потом в реальной сети - другая. 

2. Как понять какая же скорость будет в вашей сети.

Ответ: друзья, все тесты в datasheet - искусственные. Чтобы узнать производительность межсетевого экрана, нужно его тестировать на вашем трафике.

Gartner не разобрался в SOAR

Цикл хайпа по Gartner. Где SOAR многие разочарованы.

SOAR жив: Развенчиваем мифы о судьбе Security Orchestration, Automation and Response

В мире кибербезопасности появились слухи о "смерти" 😱SOAR (Security Orchestration, Automation and Response) после некоторых заявлений Gartner. Давайте разберемся, что происходит на самом деле и почему SOAR остается важным инструментом для специалистов по безопасности.

Что на самом деле сказал Gartner о SOAR

😱Странные слухи, что Gartner чуть ли не убил весь класс продуктов SOAR. С чего вы взяли? 🚫 Gartner всего лишь не планирует публиковать Magic Quadrant для SOAR. Исследование Gartner по IT-услугами (ITSM) указывает на неудовлетворенность специалистов по безопасности и устаревшими продуктами и решениями SOAR. А с тем же SIEM такого никогда не было? Я помню тех людей, которые покупали SIEM и потом ждали что у них сами люди обучатся инциденты расследовать и процессы наладятся сами - а оказалось, что это тоже работа менеджмента.

Критика ограничений SOAR: Насколько она обоснована?

В отчете Gartner отмечены следующие критические ограничения SOAR:

• Высокие первоначальные затраты на установку и внедрение. А SIEM или NGFW прямо с полпинка внедряется? ;)
• Высокие затраты на поддержку и обслуживание. Даже так? ) По сравнению с чем? ) А переписывать питон скрипты при смене API - это прямо совсем недорого? )
• Требование наличия специалистов с обширными навыками программирования. А они вообще пробовали SOAR или что-то из области No-Code? )
• Проблемы интеграции и совместимости с инструментами третьих сторон. Это да, согласен, но это общая проблема рынка, а не только продуктов SOAR. Так ведь SOAR и создан, чтобы эту проблему решать. 
• Нереалистичные ожидания, что SOAR может решить все проблемы безопасности как автономное решение. А от других продуктов значит ожидания реалистичные? )

Мое понимание, что в Gartner просто не нашлось специалиста, который смог адекватно оценить и сравнить продукты этого класса, как это смог сделать Антон Чувакин для SIEM в свое время. Я почитал их отмазку "Недостаточная зрелость рынка: SOAR как категория технологий находится на стадии формирования. Gartner предпочитает дождаться более четкой картины для создания качественной и информативной оценки" ЧТО?! ) ДА ЛАДНО! 😆 

История и развитие SOAR: От инновации до зрелого решения

Я прекрасно настраивал людям Cortex XSOAR и это был прекрасно сформировавщийся продукт и его сделала изначально компания Demisto. Людям было удобно подключать молодых сотрудников к процессам, на основе готовых плейбуков, и которые молодежь даже не знала как работают, и они учились по этим плейбукам старших товарищей - это позволяет быстрее адаптировать нового сотрудника в SOC. Спасибо, SOAR.

Я прекрасно помню как на конференции RSA я был под впечатлением от выступления компании Phantom, которая и придумала идею SOAR - цеплять всех вендоров через API и управлять ими через плейбуки. Удобная автоматизация и оркестрация - это мечта любого специалиста.

Phantom выступал на RSA Conference еще в 2016 году 🔥, где был назван "Самым инновационным стартапом" конференции. Это признание было получено в результате конкурса, в котором участвовало 10 финалистов, и Phantom был выбран победителем жюри, состоящего из венчурных капиталистов и экспертов в области безопасности.

И Splunk потом купил Phantom.

Будущее автоматизации кибербезопасности: SOAR vs AI

Gartner считает, что нужно смотреть на более зрелые решения класса AI. Да, пусть AI угадывает параметры XML для новой версии API вендора - ведь проблема то в этом.

Инструменты автоматизации рабочих процессов должны преобразовывать события в оповещения для администраторов, создавать каналы связи между разными типами устройств защиты, обновлять статус инцидента в реальном времени. В общем очередная мечта об одной красной кнопке "сделать все" умерла....

Ну так это не проблема класса продуктов, это работа человеческой психологии. Могут ли сегодняшние средства защиты устранять проблемы в один клик для сценария, например, когда все Windows лежат в синем экране от CrowdStrike бага? Нет.

Несмотря на критику, SOAR продолжает играть важную роль в современной кибербезопасности.

Что вы думаете о будущем SOAR? Поделитесь своим опытом использования этих инструментов в комментариях.

Detection, Deception and Response - как NDR и DDP ускоряют Time to Detect.

Сегодня мы вынуждены констатировать ситуацию, что хакеры находят способы проникать в корпоративные сети. Например, они воруют логин и пароль сотрудника и заходят во внутреннюю сеть через наш VPN шлюз, и работают от имени легитимного пользователя и забирают данные компании легитимными утилитами. Так было во время взлома Uber и Cisco, и многих российских компаний, которые пожелали остаться неизвестными. 

А как же двухфакторная аутентификация скажете вы? Почему не спасает MFA я уже описывал здесь (https://www.youtube.com/watch?v=j_nckY3gF6Q).

5 способов обхода MFA.

Поэтому задача команды SOC сегодня – как можно быстрее 🙈 обнаружить, что злоумышленник уже в сети.

Существует несколько вариантов получения сигналов в SIEM, SOAR, IRP (и SOC), о том, что злоумышленник уже в сети. 

Самый быстрый эффект дают системы, использующие поведенческий анализ, профилирование действий и также ловушки (Deception), поскольку в них работают поведенческие алгоритмы. Если вредоносный код можно заново скомпилировать под компанию и скрыть его, то вредоносное поведение в сети изменить сложно. Именно на это нацелены эти классы решений. Рассмотрим эти варианты:

1. Сравнение типового поведения пользователей и выявления паттернов вредоносной деятельности в их действиях. Важно, что NDR работает как в корпоративной сети, так и ICS/SCADA, ведь пользователи и там и там буду использовать сеть:

• передача злонамеренных программ с хоста на хост – это модуль проверки передаваемых файлов в протоколах SMB, FTP, HTTP, SMTP, POP3, IMAP. В SMB и FTP часто можно увидеть передачу программ удаленного управления и криптолокеров; cистемы класса NDR позволяют своевременно остановить такое распространение и изолировать хост и аккаунт атакующего;
• lateral movement, когда злоумышленник с одного хоста пытается залогиниться на другой хост, к которому ему не нужен доступ по работе, или не было доступа ранее; Deception и NDR своевременно это обнаруживают и блокируют;
• скачивание аномального большого объема данных с серверов или отправка данных в Интернет на внешние ресуры;
• появление несанкционированных устройств, которые ранее не были зарегистрированы ИТ службой (Shadow IT);
• использование известных уязвимостей – выявляется модулем IDS встроенным в такие системы;
• использование Zero Day выявляется постфактум, во время разбора инцидента, поскольку система полностью записывает трафик;
• использование Zero Day в файлах минимизируется за счет интеграции с песочницей и проверкой всех новых файлов в компании на системах поведенческого анализа;
• контроль исходящих соединений из сети в Интернет на основе уже известных баз Threat Intelligence, проверки DNS запросов и также за счет работы обученных моделей Machine Learning.
• контроль трафика может происходить как на основе сбора сырых пакетов с сетевых брокеров и SPAN портов, так и с других систем сбора статистики NetFlow, уже имеющихся в компании;
• в ICS/SCADA будут выявлены аномальные команды, которые ранее не передавали в контроллеры;
• единая система управления позволяет увидеть все что происходит во всех уголках сети, поэтому защиту можно и нужно расширять и устанавливать дополнительные компоненты контроля в разных филиалах и подразделениях компании. Ведь филиалы - часто страдают от недостатка внимания - поставьте там сенсор NDR и/или Deception.

19 способов проникновения и как NDR их отслеживает.

2. Ловушки (DDP, Deception), расставленные по сети, будут первыми выявлены злоумышленником, поскольку специально разработаны, чтобы приманка была то самое сладкое, что увидел злоумышленник на рабочей станции и в сети. И также системы класса Deception привлекут злоумышленника, как только он попытается перемещаться по сети (lateral movement) и изучать ее. 

От чего защищают Deception (DDP) продукты или как обнаружить злоумышленника в сети компании.

Используйте эти средства быстрого выявления злоумышленника. Не ждите, когда он сам объявится с просьбой заплатить выкуп.

CISO MindMap 2024

🦁 Сегодня с утра решил проверить что нового у RAFEEQ REHMAN в его CISO Mindmap (https://rafeeqrehman.com/ciso-mindmap/). 

🙂 Забавно, что автор наигрался с Cyber Risk Insurance и этого больше нет в его MindMap!  
👀 Как вам вообще этот MindMap? Что бы вы добавили и удалили? 

Источник: https://rafeeqrehman.com/wp-content/uploads/2024/03/CISO_MindMap_2024-2.png

Когнитивные искажения, которые применяют манипуляторы: никогда не берите первое пришедшее в голову решение

Никогда не следует сразу брать первое пришедшее в голову решение. Обычно оно принесено нам в разум другими людьми. Причина в том, что разум работает как сперматозоид и яйцеклетка: первая идея проникает, а затем разум закрывается.

Если подробнее, то это связано с несколькими факторами:

• Легкость - тенденция оценивать вероятность события или частоту явления в зависимости от того, насколько легко вспоминаются соответствующие примеры. Первая идея, как правило, наиболее доступна в памяти.
• Лень - наш мозг стремится экономить энергию и усилия, поэтому предпочитает использовать первое пришедшее в голову решение, даже если оно не оптимально.
• Внешнее влияние - наши решения часто формируются под влиянием других людей, СМИ, социальных сетей. Первая идея может быть навязана извне.
• Эффект первичного закрепления - мы склонны придерживаться первоначальных предположений даже при наличии противоречащих фактов.

Наша склонность останавливаться на первых выводах приводит к тому, что мы запоминаем многие ошибочные данные и перестаем задавать вопросы; этому можно противостоять с помощью умственных упражнений. Вам остается решить - нужно ли это вам. )

Какие есть умственные упражнения:

• Генерировать множество идей и решений, прежде чем останавливаться на одном.
• Тщательно анализировать и проверять первую идею, прежде чем принимать решение.
• Собирать дополнительную информацию, чтобы расширить взгляд на проблему.
• Ставить под сомнение первоначальные предположения и открыто рассматривать альтернативы.
• Получать обратную связь от других, чтобы взглянуть на ситуацию с разных точек зрения.

Развивая эти навыки, мы можем избежать поспешных выводов и принимать более взвешенные, обоснованные решения. Это требует дополнительных усилий, но в долгосрочной перспективе повышает качество нашего мышления. Это одна из наших ментальных моделей, другие 100 моделей можно просмотреть в этом материале.

Ситуация с информационной безопасностью России

 Как следует из отчета пентестеров,

🔴 63% организаций могут взломать начинающие хакеры.  

🔴 96% организаций открыты для профессиональных хакеров. 

🔴 21% проверенных организаций имеют явные следы пребывания хакеров, то есть были взломаны неоднократно.

🟢 7% организаций имеют высокий уровень защищенности.

Основными причинами успешного проникновения во внутреннюю сеть стали 

♦️ недостатки парольной политики,

♦️ уязвимости в коде веб-приложений и 

♦️ недостатки конфигурации сервисов, находящиеся на периметре сети (например, VPN, Citrix). 

🔴 Одним из частых недостатков конфигурации таких систем является отсутствие двухфакторной аутентификации или недостаточная проверка авторизации пользователей. Включите вы MFA когда-нибудь или нет? )

💥 Какие системы были атакованы чаще всего и соответственно стоит проверить у всех в первую очередь:

CMS - управлет контентом вашего сайта
Почтовый сервер - всегда доступен снаружи
PMS - управление проектами
Видеоконференции - тоже доступны снаружи

Почти в каждом пентесте выявляется уязвимость PetitPotam, которая помогает стать администратром домена Active Directory. Как защититься описано в KB5005413 у Microsoft.

Для повышения привилегий используются атаки, которые вы найдете по ключевым словам DCSync, LSA Secrets, LSASS memory, NTDS.dit.

В итоге, чем больше компаний перестанет пользоваться Microsoft Active Directory, тем защищенней они будут. 

🔴 Какие пароли пользователей встречаются на пентестах?

Да все те же, что последние 30 лет существования компьютеров:

12345678,
Qwerty123,
Aa12345678,
123qweASD,
123456,
123,
111111,
НазваниеКомпании2022,
пароли по-умолчанию.

Людей изменить нельзя, поэтому включите двухфакторную аутентификацию, чтобы снизить риск кражи и подбора пароля.

🛡 Обновите свои системы сегодня

На скриншоте приведен список уязвимостей, которые чаще всего использовались пентестерами. Для этих уязвимостей уже много лет есть обновления, но они до сих пор у компаний не установлены. 

Установите патчи, пожалуйста. Сегодня!

Полный отчет тут 

Услугами пентестеров пользуются компании на высоком уровне зрелости. Множество компаний просто не знают свой уровень защиенности. И можно только гадать как у них обстоят дела.

NGFW изнутри. Вся правда о производительности.

Выпущена серия из трех видеороликов о производительности NGFW.

1. В первой части общий обзор как трафик проходит через NGFW. И это нужно знать, чтобы понять следующие две части.

2. Во второй части рассказ про то как посчитать CPS в своей будущей сети на основе знаний о числе хостов.

Также вы узнаете как производительность зависит от включенных функций.

3. В третьей части рассказ про то как сам трафик влияет на производительность, в чем разница между транзакциями 64Кб, 256Кб, 1.7Кб.

И также рассказываю как понять число одновременных соединенений (Concurrent Connections) в вашей будущей сети

 

И еще,  завершающая песня про Firewall написанная искуственным интеллектом!

Подписывайтесь на канал Топ Кибербезопасности

 

Искусственный интеллект в информационной безопасности

1. Актуальность искусственного интеллекта

Современные компании сталкиваются с растущими угрозами кибербезопасности, которые становятся все более сложными и изощренными. В этом контексте использование искусственного интеллекта (ИИ) становится критически важным для обеспечения защиты информации. ИИ может существенно повысить информационную безопасность компании, предлагая следующие преимущества:

• Обнаружение и предотвращение угроз: ИИ анализирует поведение пользователей и систем для выявления аномалий и предотвращения атак в реальном времени.
• Управление доступом и аутентификация: Использование биометрических данных и многофакторной аутентификации для надежной защиты.
• Обнаружение фишинга и спама: Анализ электронной почты и обучение сотрудников для распознавания фишинговых атак.
• Защита сетевой инфраструктуры: Интеллектуальные брандмауэры и мониторинг сети для предотвращения угроз.
• Ответ на инциденты и автоматизация: Автоматизация процессов реагирования на инциденты для минимизации ущерба.
• Управление уязвимостями: Автоматическое сканирование и устранение уязвимостей.
• Обнаружение и предотвращение утечек данных: Мониторинг и контроль доступа к данным для предотвращения утечек.

2. Какие данные анализирует искусственный интеллект

Для эффективного обнаружения угроз в сетевом трафике и других данных, ИИ анализирует множество различных источников. Вот основные категории данных и примеры:

• Лог-файлы и сетевые журналы: Логи сетевых устройств (маршрутизаторов, коммутаторов, брандмауэров), серверов и конечных точек, системы обнаружения и предотвращения вторжений (IDS/IPS), прокси-серверов.
• Сетевой трафик: Полные сетевые пакеты (PCAP-файлы), метаданные о сетевом трафике (заголовки пакетов), временные метки и продолжительность соединений, паттерны трафика.
• Данные о пользователях и устройствах: Информация о пользователях (учетные записи, роли, права доступа), подключенных устройствах (MAC-адреса, IP-адреса, типы устройств), поведенческие паттерны пользователей и устройств.
• Аномалии и инциденты: Предыдущие инциденты безопасности и данные об известных атаках, история предупреждений и оповещений системы безопасности.
• Контент данных: Содержимое передаваемых данных (анализ на наличие вредоносного ПО, подозрительных скриптов), данные о посещаемых веб-сайтах и скачиваемых файлах.
• Внешние источники угроз (Threat Intelligence): Списки известных вредоносных IP-адресов и доменов, информация о новых уязвимостях и эксплойтах, обновления о тактиках, техниках и процедурах (TTPs) злоумышленников.

Примеры данных 

1. Заголовки пакетов: IP-адрес источника и назначения, порты источника и назначения, протоколы (TCP, UDP, ICMP), размер пакета.
2. Сеансовая информация: Начало и конец соединения, объем переданных данных, частота и регулярность соединений.
3. Поведенческая аналитика: Отклонения в привычных паттернах трафика (например, внезапное увеличение трафика в ночное время), необычные запросы к серверам.
4. Содержимое пакетов: Проверка полезной нагрузки на наличие вредоносного ПО, анализ контента на подозрительные строки или команды.

3. Модели для анализа сетевого трафика, логов и событий на хостах

Существует множество моделей машинного обучения и алгоритмов ИИ, которые используются для анализа сетевого трафика, логов и событий на хостах. Вот некоторые из них:

• Глубокие нейронные сети (DNN): Подходят для классификации и обнаружения аномалий в сетевом трафике и логах. 
  • Преимущества: Глубокие нейронные сети могут обучаться сложным паттернам в данных и адаптироваться к разнообразным сценариям, что помогает уменьшить количество ложных срабатываний при правильной настройке и обучении.
  • Недостатки: Требуют большого объема данных для обучения и значительных вычислительных ресурсов. Могут переобучаться, если не применять регуляризацию.
• Рекуррентные нейронные сети (RNN) и длинная краткосрочная память (LSTM): Эффективны для анализа временных рядов и предсказания аномалий.
  
  • Преимущества: RNN и LSTM хорошо работают с последовательными данными и могут выявлять временные зависимости и аномалии, что помогает уменьшить ложные срабатывания в анализе сетевого трафика.
  • Недостатки: Могут быть сложными в обучении и настройке, требовать значительных вычислительных ресурсов.
• Автокодировщики (Autoencoders): Хорошо выявляют отклонения от нормального поведения.
• Преимущества: Автокодировщики хорошо подходят для обнаружения аномалий, так как они могут выявлять отклонения от нормального паттерна. Это помогает сократить количество ложных срабатываний.
• Недостатки: Могут быть менее эффективны на данных с большим разнообразием нормального поведения.
• Генеративно-состязательные сети (GAN): Используются для создания синтетических данных и выявления аномалий.
• Преимущества: Могут обучаться на немаркированных данных, снижая затраты на подготовку данных.
• Недостатки: Координация двух нейронных сетей (генератора и дискриминатора) сложна и может быть нестабильной. Требуют значительных ресурсов и времени для обучения. Не всегда идеально соответствует реальным данным, что критично для безопасности.
• Поддерживающие векторы машины (SVM): Подходят для задач классификации и регрессии.
• Преимущества: SVM хорошо работают на данных с четкими границами между классами. Они часто дают высокую точность при классификации и, при правильной настройке, могут уменьшить количество ложных срабатываний.
• Недостатки: SVM могут быть менее эффективны на очень больших наборах данных и могут требовать значительных вычислительных ресурсов для обучения.
• Деревья решений и случайные леса (Random Forests): Обеспечивают высокую точность и устойчивость к переобучению.
  
  • Преимущества: Этот ансамблевый метод объединяет множество деревьев решений, что помогает уменьшить переобучение и улучшить обобщающую способность модели. Случайные леса часто дают более точные результаты и меньше ложных срабатываний.
  • Недостатки: Могут быть медленными при прогнозировании на больших наборах данных.
• Градиентный бустинг (Gradient Boosting): Объединяет слабые модели для создания сильной, что улучшает точность.
  • Преимущества: Градиентный бустинг является мощной техникой ансамблевого обучения, которая объединяет слабые модели (обычно деревья решений) для создания сильной модели. Он часто демонстрирует высокую точность и низкий уровень ложных срабатываний.
  • Недостатки: Модели градиентного бустинга могут быть вычислительно интенсивными и требовать тщательной настройки гиперпараметров.
• Кластеризация (Clustering): Используется для группировки данных и выявления аномалий.
• Баесовские сети (Bayesian Networks): Подходят для анализа сложных зависимостей в данных.
• Алгоритмы на основе графов: Анализируют сетевой трафик как графы для выявления атак и аномалий.
• Обработка естественного языка (NLP): Анализируют текстовые данные для выявления угроз на основе неструктурированной информации.

4. Компании, использующие искусственный интеллект

Вот таблица с перечисленными компаниями, их продуктами и поддерживаемыми моделями:

Заключение

Другие новинки отрасли обсуждаются в канале Топ Кибербезопасности.

Современные NGFW (Next-Generation Firewall) и другие решения для обеспечения информационной безопасности с использованием искусственного интеллекта предоставляют мощные инструменты для повышения уровня защиты. При выборе решения стоит учитывать способность системы адаптироваться к новым угрозам, точность обнаружения и уровень ложных срабатываний. Компании, такие как Palo Alto Networks, Fortinet, Cisco, IBM, Microsoft, и Check Point, предлагают передовые технологии и решения, которые могут удовлетворить потребности любой организации в области кибербезопасности.

ЗЫ: Эту статью тоже написал искусственный интеллект. 

На какие бы выступления RSA Conference 2024 я бы пошел

Интересные выступления на RSA Conference 2024

Пролистывал программу конференции и вывел для себя небольшой список - куда бы я пошел, если бы был там. Возможно вы тоже хотите посмотреть о чем говорят на международных конференциях?

По списку тем у меня есть ощущение, что есть какая-то усталость у всех. Все уже так наелись взломов, что не хотят про это говорить. И еще есть надежда у многих, что появится волшебная таблетка в виде AI. При этом искусственный интеллект еще и боятся: есть обсуждение что LLM еще и проблемы создает. Все ссылки я выложил в своем телеграм канале.

Уверен, надо будет послушать в записи эти основные выступления:

✅ Gartner's Top Predictions for Cybersecurity 2023-2024 потому что аналитики Gartner молодцы

✅ The State of Cybersecurity – Year in Review Google Cloud обычно много знает

✅ Unveiling the 2024 Data Breach Investigations Report (DBIR)  отчет Verizon обычно неплох

✅ Security's Social Problem интересно узнать что Google имеет в виду - они разве не в курсе про Поибэшечку, ИБ митап и мой блог?

✅ Tech Diplomacy: Building Cyber Resilience Together  министры иностранных дел нескольких стран обсудят тему защиты

✅ The Five Most Dangerous New Attack Techniques You Need to Know About выступает SANS, а они то всегда знают о чем говорят

✅ The Time is Now: Redefining Security in the Age of AI обычно Cisco хорошо готовятся к выступлениям и дают пользу

Ну и так далее все ссылки в моем телеграм канале.