Перейти к содержанию
Сергей Ильин

Технологии динамического обнаружения целенаправленных атак

Recommended Posts

Сергей Ильин

Вы еще пугаете людей APT? Тогда Cezurity уже идет к вам :)

Сегодня пришел вот такой пресс-релиз:

*******************

Компания Cezurity, российский разработчик средств обеспечения информационной безопасности, объявляет о завершении разработки собственной технологии обнаружения целенаправленных (таргетированных) атак на информационные системы предприятий.

Характер обнаруженных в последнее время атак (Stuxnet, Duqu, операция Аврора, атака на компанию RSA Security и др.) говорит о том, что компьютерные угрозы изменились. Хотя киберпреступность существует уже много лет, сегодня она начинает приобретать черты организованной и хорошо финансируемой индустрии.

Все более распространенными становятся так называемые целенаправленные атаки (Advanced Persistent Threats, APT) ключевая особенность которых состоит в том, что преступников интересуют конкретные цели. Как правило, такими целями являются информационные системы предприятий и даже государств. С помощью атаки решаются задачи, связанные с кибершпионажем или получением той или иной выгоды от компрометации данных. При этом, так как данные всегда защищены, основной точкой приложения усилий атакующих становится обход существующей защиты. Традиционные средства защиты, такие как, например, антивирусы, хотя и продолжают использоваться повсеместно, сегодня не в состоянии справиться с целенаправленными атаками.

Целенаправленые атаки обычно растянуты во времени и поэтапны. От начала атаки до момента уничтожения следов присутствия могут пройти годы. При этом злоумышленники используют самые разные методы сбора данных и внедрения в информационные системы. Это может быть социальная инженерия, эксплуатация известных и неизвестных (0day) уязвимостей, вредоносные программы и инструменты сокрытия их присутствия в системах. В атаках могут участвовать инсайдеры – помощники злоумышленников, работающие в атакуемых организациях.

Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

Для того, чтобы обнаружить атаку, оцениваются изменения систем во времени. Каждый из компьютеров, составляющих IT-инфраструктуру, периодически сканируется – собирается информация о состоянии критических объектов. Это такие характеристики, как, например, геометрия исполняемых файлов, положение объектов в системе, их взаимосвязь между собой, поведенческие портреты приложений. Полученная информация классифицируется и сравнивается с результатами прошлых сканирований. В произошедших изменениях осуществляется поиск аномалий. Найденные аномалии подвергаются машинному, а при необходимости и ручному анализу.

В отличие от традиционных подходов, при динамическом обнаружении анализируются не отдельные состояния систем, а произошедшие изменения. Безопасность обеспечивается тем, что защита, как и сама атака, представляет собой постоянный, протяженный во времени процесс, в котором центральное место занимает обнаружение действий злоумышленников.

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

Одно из ключевых преимуществ разработанной Cezurity технологии состоит в том, что атака может быть обнаружена вовремя – на самой ранней стадии. При этом детектироваться будет любая из попыток и любой из этапов атаки, что позволит значительно снизить риск компрометации IT-инфраструктуры.

“Обратная сторона высокой точности обнаружения – это необходимость обрабатывать огромное количество информации, – говорит Кирилл Пресняков, – в основе нашего подхода лежат как облачные технологии, в первую очередь – разработанная Cezurity платформа анализа Cezurity Cloud, так и целый ряд методов интеллектуальной обработки больших массивов данных. За счет того, что основная часть вычислительных процессов происходит в облаке, в решении Cezurity удалось совместить точность детектирования с высокой стабильностью работы и крайне низким влиянием на клиентские приложения”.

*****************************

Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

"К нам едет ревизор!" ;)

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

О, знакомые всё лица ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus

Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Вы сейчас о ком?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Вероятнее всего антивирусом и стырил файлы в свое облако.

Какие файлы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor
Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Работник какой компании?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus
Какие файлы?
Работник какой компании?

Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Читал пейджер, долго думал (с) не я

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
KIS_fan
Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Как не поддаётся ? Свежая статья Е.Касперского

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Как не поддаётся ? Свежая статья Е.Касперского

В статье речь о другом совсем. Насколько я понимаю, ZETA Shield анализирует контент, который через этот компонент проходит, выявляются аномалии, куски кода, которые далее отдаются другим компонентам.

У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Вот это как раз самое интересно. Получается HIPS просто завернули в другую упаковку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Мудрым людям необходимы пруфы, а не вбросы. А таких вбросов про Спорава мы уже видели-перевидели. Осталось только еще про Навального написать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

Но при этом замечу:

1. такая технология известна дцать лет

2. такая технология не будет эффективно работать по множеству причин. Простейшая звучит так - "приложение X обновлено разработчиками ввиду устранения баги Y и добавления фичи Z". Исполняемые файлы приложения поменялись, добавилась пара DLL. Обновление прошло скажем на 10 ПК, где это приложением применяется. Остался один простой вопрос - где гарантия, что злобный разработчик не добавил в программу небольшую недокументированную закладочку ? Для нанесения непоправимого вреда достаточно сотни байт кода, который утонет в мегабайтах полезного... поэтому понять, что приложение обновилось, тривиально. А вот понять, появились ли в нем закладки ...

3. Кто сказал, что система уже не модифицирована злодеями на момент внедрения ? (сравнивать то нужно с чем-то)

4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений. И периодические сканирования/сравнения, как сказано в начале топика, ничего не дадут - изменений оно не найдет. Или например на диске что-то создается, но имхо глупо надеяться, что APT будет на самом видном месте оставлять следы - логично выполнить свое черное дело, самоуничтожиться и затереть все следы активности. Сложную аппаратную закладку такое сканирование тоже не обнаружит - так как для аппаратной закладки никакие изменения в системе не нужны... От атаки на дырявое железо фирмы это тоже не спасет (так как мониторятся ПК, где все хорошо)

Это техническая сторона, а не техническая - те самые мусорные ведра, черновики, эксплуатация бардака с хранением флешек и защитой от воровства техники, социальная инженерия - имхо если речь идет о APT, то все это будет применяться, если цель оправдывает средства.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений.

Изменения в памяти, есть

обязательно изменения в системе у юзеров

Собственно на это я и намекаю.

С моей точки зрения быть только в памяти тупо, т.к. нужно закрепиться, а постоянно "пробивать" - неудобно. Даже серверы перезагружают. К тому же, мы не знаем как устроен ревизор Цезурити.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus

В связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву? Все-таки репутационный ущерб как-никак.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву?

А кто такой этот гражданин Воробьев?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Curtismab
      Неотразимые мягкие места в уборной выставляют дивчины https://devkis.net на развратных фотках
    • Dmitrius
      БигПикча новости в фотографиях Бигпикча – это уникальный портал, который предлагает ознакомиться с самыми интересными и увлекательными новостями. Они понравятся каждому, кто всегда желает держать руку на пульсе и быть в курсе последних новостей, событий в мире. Этот портал уникален тем, что все материалы сопровождаются красочной фотографией для наглядности. Сайт приковывает к себе внимание с самых первых минут. Его хочется постоянно рассматривать, наслаждаться интересной подачей материала. Над его созданием трудились лучшие авторы, настоящие эксперты в своем деле, которые преподносят информацию таким образом, чтобы она понравилась людям любого возраста и независимо от социального положения. На bigpicture.ru только интересные, яркие новости на самые злободневные темы, а потому вы обязательно найдете что-то стоящее для себя. Есть любопытные статьи про животных, людей, еду, оригинальные вещи. Имеются факты, а также топы, которые интересно пересматривать вновь. Администрация сайта регулярно выкладывает статьи, которые помогут взглянуть на привычные вещи под другим углом. Если и вы хотите развлечься после трудового дня или в выходной, то скорей заходите на этот сайт, который знает, что вам предложить, чтобы разнообразить досуг и сделать его ярким, насыщенным. Авторы умеют удивлять, поэтому при составлении контента учитываются интересы всех читателей. Рассматриваются факты, о которых раньше вы даже не догадывались. Они прольют свет на многие вопросы. Новости в фотографиях, увлекательные путешествия, истории, лонгриды и многое другое представлено на этом сайте. Добавляйте его в закладки, чтобы не потерять, ведь этот портал является пищей для мозга, возможностью расширить свое сознание и повысить уровень интеллекта. Ищите любимый сайт в социальных сетях.
    • Curtismab
      Офигенные соски в усадьбе показывают глупышки https://devkis.net на эро фотокарточках
    • Dmitrius
      Арбитражный управляющий Каждый может оказаться в такой ситуации, когда требуется профессиональная и своевременная поддержка юриста. Если и вы вынуждены стать банкротом и оформить это по закону, то необходимо обратиться за такой услугой в центр банкротства. В компании работают квалифицированные специалисты с большим опытом, а в их багаже большое количество успешно завершенных дел. Именно поэтому вы сможете надеяться на отличный результат. Важно учесть тот момент, что специалисты детально изучают вопрос для того, чтобы подробно рассмотреть вопрос, после чего выявить возможности благоприятного результата. Списать долги Волгоград (Списание кредитов) получится по закону. Нет необходимости в том, чтобы переживать за процесс. Так специалисту удастся списать те долги, которые вы не в силах выплатить. Увы, но этот процесс может занять несколько месяцев, к тому же он не бесплатный. Банкротство физических лиц в Волгограде ведет компетентный сотрудник – он добросовестно и ответственно подойдет к решению вопроса. Он будет защищать интересы клиента, руководствуясь Конституцией. Юрист по банкротству займется оформлением документов и заявления, подготовит все факты в пользу того, чтобы объявить вас неплатежеспособным. Опыт сотрудников позволяет браться за дела различной сложности. Арбитражный управляющий Волгоград поможет вам избавиться от долгов. Что касается расценок, то на них влияют самые разные факторы, включая расходы на законодательном уровне. Подписывается договор на указание услуг – в нем указываются обязанности каждой стороны, набор услуг. Юрист рассмотрит все аспекты вашего дела. Важным моментом является то, что все ваши долги будут списаны в полном объеме при положительном исходе дела. Специалист использует все ресурсы, которые потребуются для того, чтобы получить положительный результат.
    • Dmitrius
      Септик в Москве и Московской области Компания долгое время и на выгодных условиях оказывает услуги, связанные со строительством автономной канализации в Москве и области. Если Вам необходима выгребная яма – ознакомьтесь с интересующей информацией на официальном портале. Автономная канализация, организованная на дачном участке, положительно влияет на уровень комфорта. Несмотря на то, планируется ли круглый год проживать на участке или только летом, вы почувствуете удобство. Цену на ее установку вы сможете узнать на сайте. Компания длительное время работает в данной сфере, а потому предлагает только выгодные условия, доступные цены, а сами работы выполняются быстро, аккуратно и в наиболее комфортное время. Она наладила сотрудничество с проверенными и надежными поставщиками оборудования. Специалисты создадут высокотехнологичную и работающую систему под ключ. В работе используются только надежные, качественные материалы, выполняются технологические условия. Если говорить о ценах, то они остаются на среднем уровне, а потому воспользоваться услугой смогут все, кто хочет. Кольцевой накопитель отлично подходит для сбора сточных вод при условии, что в доме на постоянной основе проживают до 7 человек. Все работы будут выполнены в минимальные сроки и тогда, когда это удобно именно вам. С собой будут все необходимые инструменты, а также материалы. Сотрудники осуществят установку и выполнят все нужные работы. При появлении вопросов задайте их сотрудникам, которые все пояснят, а также определят общую стоимость работ. Специалисты выполнят все необходимые работы, несмотря на время года. Отсутствуют дополнительные наценки, переплаты, только прозрачные условия сотрудничества.
×