Сергей Ильин

Технологии динамического обнаружения целенаправленных атак

В этой теме 18 сообщений

Вы еще пугаете людей APT? Тогда Cezurity уже идет к вам :)

Сегодня пришел вот такой пресс-релиз:

*******************

Компания Cezurity, российский разработчик средств обеспечения информационной безопасности, объявляет о завершении разработки собственной технологии обнаружения целенаправленных (таргетированных) атак на информационные системы предприятий.

Характер обнаруженных в последнее время атак (Stuxnet, Duqu, операция Аврора, атака на компанию RSA Security и др.) говорит о том, что компьютерные угрозы изменились. Хотя киберпреступность существует уже много лет, сегодня она начинает приобретать черты организованной и хорошо финансируемой индустрии.

Все более распространенными становятся так называемые целенаправленные атаки (Advanced Persistent Threats, APT) ключевая особенность которых состоит в том, что преступников интересуют конкретные цели. Как правило, такими целями являются информационные системы предприятий и даже государств. С помощью атаки решаются задачи, связанные с кибершпионажем или получением той или иной выгоды от компрометации данных. При этом, так как данные всегда защищены, основной точкой приложения усилий атакующих становится обход существующей защиты. Традиционные средства защиты, такие как, например, антивирусы, хотя и продолжают использоваться повсеместно, сегодня не в состоянии справиться с целенаправленными атаками.

Целенаправленые атаки обычно растянуты во времени и поэтапны. От начала атаки до момента уничтожения следов присутствия могут пройти годы. При этом злоумышленники используют самые разные методы сбора данных и внедрения в информационные системы. Это может быть социальная инженерия, эксплуатация известных и неизвестных (0day) уязвимостей, вредоносные программы и инструменты сокрытия их присутствия в системах. В атаках могут участвовать инсайдеры – помощники злоумышленников, работающие в атакуемых организациях.

Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

Для того, чтобы обнаружить атаку, оцениваются изменения систем во времени. Каждый из компьютеров, составляющих IT-инфраструктуру, периодически сканируется – собирается информация о состоянии критических объектов. Это такие характеристики, как, например, геометрия исполняемых файлов, положение объектов в системе, их взаимосвязь между собой, поведенческие портреты приложений. Полученная информация классифицируется и сравнивается с результатами прошлых сканирований. В произошедших изменениях осуществляется поиск аномалий. Найденные аномалии подвергаются машинному, а при необходимости и ручному анализу.

В отличие от традиционных подходов, при динамическом обнаружении анализируются не отдельные состояния систем, а произошедшие изменения. Безопасность обеспечивается тем, что защита, как и сама атака, представляет собой постоянный, протяженный во времени процесс, в котором центральное место занимает обнаружение действий злоумышленников.

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

Одно из ключевых преимуществ разработанной Cezurity технологии состоит в том, что атака может быть обнаружена вовремя – на самой ранней стадии. При этом детектироваться будет любая из попыток и любой из этапов атаки, что позволит значительно снизить риск компрометации IT-инфраструктуры.

“Обратная сторона высокой точности обнаружения – это необходимость обрабатывать огромное количество информации, – говорит Кирилл Пресняков, – в основе нашего подхода лежат как облачные технологии, в первую очередь – разработанная Cezurity платформа анализа Cezurity Cloud, так и целый ряд методов интеллектуальной обработки больших массивов данных. За счет того, что основная часть вычислительных процессов происходит в облаке, в решении Cezurity удалось совместить точность детектирования с высокой стабильностью работы и крайне низким влиянием на клиентские приложения”.

*****************************

Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

"К нам едет ревизор!" ;)

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

О, знакомые всё лица ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Вы сейчас о ком?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вероятнее всего антивирусом и стырил файлы в свое облако.

Какие файлы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Работник какой компании?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Какие файлы?
Работник какой компании?

Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Читал пейджер, долго думал (с) не я

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Как не поддаётся ? Свежая статья Е.Касперского

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Как не поддаётся ? Свежая статья Е.Касперского

В статье речь о другом совсем. Насколько я понимаю, ZETA Shield анализирует контент, который через этот компонент проходит, выявляются аномалии, куски кода, которые далее отдаются другим компонентам.

У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Вот это как раз самое интересно. Получается HIPS просто завернули в другую упаковку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Мудрым людям необходимы пруфы, а не вбросы. А таких вбросов про Спорава мы уже видели-перевидели. Осталось только еще про Навального написать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

Но при этом замечу:

1. такая технология известна дцать лет

2. такая технология не будет эффективно работать по множеству причин. Простейшая звучит так - "приложение X обновлено разработчиками ввиду устранения баги Y и добавления фичи Z". Исполняемые файлы приложения поменялись, добавилась пара DLL. Обновление прошло скажем на 10 ПК, где это приложением применяется. Остался один простой вопрос - где гарантия, что злобный разработчик не добавил в программу небольшую недокументированную закладочку ? Для нанесения непоправимого вреда достаточно сотни байт кода, который утонет в мегабайтах полезного... поэтому понять, что приложение обновилось, тривиально. А вот понять, появились ли в нем закладки ...

3. Кто сказал, что система уже не модифицирована злодеями на момент внедрения ? (сравнивать то нужно с чем-то)

4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений. И периодические сканирования/сравнения, как сказано в начале топика, ничего не дадут - изменений оно не найдет. Или например на диске что-то создается, но имхо глупо надеяться, что APT будет на самом видном месте оставлять следы - логично выполнить свое черное дело, самоуничтожиться и затереть все следы активности. Сложную аппаратную закладку такое сканирование тоже не обнаружит - так как для аппаратной закладки никакие изменения в системе не нужны... От атаки на дырявое железо фирмы это тоже не спасет (так как мониторятся ПК, где все хорошо)

Это техническая сторона, а не техническая - те самые мусорные ведра, черновики, эксплуатация бардака с хранением флешек и защитой от воровства техники, социальная инженерия - имхо если речь идет о APT, то все это будет применяться, если цель оправдывает средства.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений.

Изменения в памяти, есть

обязательно изменения в системе у юзеров

Собственно на это я и намекаю.

С моей точки зрения быть только в памяти тупо, т.к. нужно закрепиться, а постоянно "пробивать" - неудобно. Даже серверы перезагружают. К тому же, мы не знаем как устроен ревизор Цезурити.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

В связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву? Все-таки репутационный ущерб как-никак.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву?

А кто такой этот гражданин Воробьев?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Wenderoy
      Обновляю: https://mega.nz/#!0FYBnRzT!Kh8GaRMVOzm99QJZX0NsDD51vDaFzPI-Vil02kw53rQ
    • Sergey22101979s
      Площадку надо свою делать и развивать её. А потом продавать места на ней. И не важно какую площадку - сайт, группу в соцсети, или что-то тому подобное.
    • homeobed
      На дому за копейки работать - дело нехитрое) Вот чтобы зарабатывать приличные деньги, на одних комментариях далеко не уедешь)
    • Mike
      Вышел McAfee VirusScan Enterprise 8.8.0 Patch 10  
    • Wenderoy
      Да, лучше удалить. Но это, разумеется, решает администрация... Я никакой не тролль, ANDYBOND прекрасно это понимает, просто именно с ним был разлад безо всякой причины, подробности приводить не буду, но теперь он старается как можно больше "навредить" мне. Собственно, вот отзывы про PS - https://www.mywot.com/ru/scorecard/provisionsecurity.ru Думаю, комментарии будут излишними. Есть очень много свидетелей, которых "примерная" администрация Provisionsecurity даже "поливала" нецензурной лексикой, у меня есть все скриншоты и т. д. И после всего этого надо подумать, а стоит ли верить таким людям? Это я в качестве отступления. Главное - то, что я устал здесь распинаться, тратя свое личное время, что идет только на руку уже упомянутым участниками форума. Все, что мне надо было доказать, я доказал, пользователи моего приложения знают и понимают мои цели и стремления, я ни от кого ничего не скрываю. Поэтому программу уже используют многие, а это значит, что дело поставлено на рельсы. Самое смешное, что на каждый мой аргумент, который я не поленился снабдить всей необходимой информацией в форме ссылок, скриншотов, записей, копий писем, сообщений лабораторий etc, в ответ мне летят одни и те же фразы: "мошенник", "вирусописатель", "тролль". Так кто же больше попадает под значение последнего слова? Просто упомяну еще пару вещей. Когда я объяснял, почему продукт детектит пустой файл, все равно меня никто не слышал. Каким же, интересно, образом мне следует растолковать это? Были приведены доказательства, что я часть баз собираю с ресурса VirusShare (благо, имеются очень хорошие источники самой разнообразной информации), где AVP в свое время почему-то пометил файл как Trojan... (где-то на предыдущих страницах все чрезвычайно подробно описано). Так вот, копируя MD5, в комплект попала и хеш-сумма пустого файла, вследствие чего как бы Вы его ни переименовывали, все рано будет сработка продукта (кстати, ее уже нет). Далее. Насчет "мошенник" и "вирусописатель". Если зимние переписки (не просто отчетов автоматического анализа лабораторий) с вирусным аналитиком McAfee ни о чем Вам не говорят, это, как говорится, не мои проблемы. Другие вендоры, да практически все (даже популярные Avast, Qihoo и др.) устанавливаются втихомолку вместе с другим ПО (DRP Solutions, различные дополнения для монетизации в пакеты дистрибутивов), но их Вы почему-то "вирусописателями"  не называете. И последнее. Насчет "мошенник". Я никого не принуждаю устанавливать KAR, каждый делает это добровольно. Лицензионное соглашение и Privacy Statment присутствуют на сайте, там все четко и ясно описано. На сервер высылаются исключительно анонимные отчеты, как и в любых других разработках аналогичного типа, не более того.  Kuranin Anti-Ransomware распространяется абсолютно бесплатно, никакой рекламы ни в продукте, ни даже на сайте, т. к. это мое хобби. Поэтому здесь не вижу ничего, связанного с мошенничеством. Это очень краткое обобщение, все мои подробные ночные отписки на однотипные бессмысленные сообщения можно посмотреть, листая предыдущие ни много ни мало двенадцать страниц. @VMS, радует, что еще есть адекватные люди, которые умеют слушать. Да, к сожалению, это не те времена, когда жизнь кипела в каждом уголке Anti-Malware и других подобных форумов. Обидно, что перевились разработчики-добровольцы, которые были очень активны в 2004-2014 годах. Сейчас в основном крупные компании все вытеснили, да есть те, кто просто сдался (Александр Калинин, его судьба мне не известна, но смею предположить, что он воплотил свое хобби в жизнь; Kerish, который, правда, стал чрезвычайно полезной утилитой Kerish Doctor, а ведь совсем немногие знают прошлое этого творения; ScreamAV, бесплатныq антивирус то ли из Индонезии, то ли с Филиппин; путем долгого анализа удалось выяснить, что создатели данного антивируса примкнули к проекту SmadAV;  SMK антивирус, когда-то известный в узких кругах; "Зоркий глаз" Петелина Александра;  AWS Core, приостановивший свое развитие и т. п.) Вообще обожаю древние сайты, особенно варианты на narod.ru и им подобные, пропахшие стариной и историей. Очень приятные ощущения, как будто бы открыл давно забытую, но вновь найденную на чердаке книгу с пожелтевшими от времени листами.  А еще очень много полезных ресурсов, которых уже нет, но они сохранились в "архиве". Все это "богатство" сложно отыскать, но зато там есть чрезвычайно много полезной информации... Вот, кстати, один из примеров: https://web.archive.org/web/20040905203536/http://www.winchanger.narod.ru:80/ Или https://web.archive.org/web/20070624081145/http://winchanger.whatis.ru:80/ Как бонус прилагаю собственную коллекцию малоизвестных продуктов любителей информационной безопасности, среди них, кстати, все вышеупомянутые образцы! https://mega.nz/#!tZBkkCKa!0WzfYt4A1zK4aCvVLtu3FLt7pfPIp7wWtyPIr9c-cbo Может, кому пригодится...