Сергей Ильин

Технологии динамического обнаружения целенаправленных атак

В этой теме 18 сообщений

Вы еще пугаете людей APT? Тогда Cezurity уже идет к вам :)

Сегодня пришел вот такой пресс-релиз:

*******************

Компания Cezurity, российский разработчик средств обеспечения информационной безопасности, объявляет о завершении разработки собственной технологии обнаружения целенаправленных (таргетированных) атак на информационные системы предприятий.

Характер обнаруженных в последнее время атак (Stuxnet, Duqu, операция Аврора, атака на компанию RSA Security и др.) говорит о том, что компьютерные угрозы изменились. Хотя киберпреступность существует уже много лет, сегодня она начинает приобретать черты организованной и хорошо финансируемой индустрии.

Все более распространенными становятся так называемые целенаправленные атаки (Advanced Persistent Threats, APT) ключевая особенность которых состоит в том, что преступников интересуют конкретные цели. Как правило, такими целями являются информационные системы предприятий и даже государств. С помощью атаки решаются задачи, связанные с кибершпионажем или получением той или иной выгоды от компрометации данных. При этом, так как данные всегда защищены, основной точкой приложения усилий атакующих становится обход существующей защиты. Традиционные средства защиты, такие как, например, антивирусы, хотя и продолжают использоваться повсеместно, сегодня не в состоянии справиться с целенаправленными атаками.

Целенаправленые атаки обычно растянуты во времени и поэтапны. От начала атаки до момента уничтожения следов присутствия могут пройти годы. При этом злоумышленники используют самые разные методы сбора данных и внедрения в информационные системы. Это может быть социальная инженерия, эксплуатация известных и неизвестных (0day) уязвимостей, вредоносные программы и инструменты сокрытия их присутствия в системах. В атаках могут участвовать инсайдеры – помощники злоумышленников, работающие в атакуемых организациях.

Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

Для того, чтобы обнаружить атаку, оцениваются изменения систем во времени. Каждый из компьютеров, составляющих IT-инфраструктуру, периодически сканируется – собирается информация о состоянии критических объектов. Это такие характеристики, как, например, геометрия исполняемых файлов, положение объектов в системе, их взаимосвязь между собой, поведенческие портреты приложений. Полученная информация классифицируется и сравнивается с результатами прошлых сканирований. В произошедших изменениях осуществляется поиск аномалий. Найденные аномалии подвергаются машинному, а при необходимости и ручному анализу.

В отличие от традиционных подходов, при динамическом обнаружении анализируются не отдельные состояния систем, а произошедшие изменения. Безопасность обеспечивается тем, что защита, как и сама атака, представляет собой постоянный, протяженный во времени процесс, в котором центральное место занимает обнаружение действий злоумышленников.

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

Одно из ключевых преимуществ разработанной Cezurity технологии состоит в том, что атака может быть обнаружена вовремя – на самой ранней стадии. При этом детектироваться будет любая из попыток и любой из этапов атаки, что позволит значительно снизить риск компрометации IT-инфраструктуры.

“Обратная сторона высокой точности обнаружения – это необходимость обрабатывать огромное количество информации, – говорит Кирилл Пресняков, – в основе нашего подхода лежат как облачные технологии, в первую очередь – разработанная Cezurity платформа анализа Cezurity Cloud, так и целый ряд методов интеллектуальной обработки больших массивов данных. За счет того, что основная часть вычислительных процессов происходит в облаке, в решении Cezurity удалось совместить точность детектирования с высокой стабильностью работы и крайне низким влиянием на клиентские приложения”.

*****************************

Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

"К нам едет ревизор!" ;)

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

О, знакомые всё лица ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Вы сейчас о ком?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вероятнее всего антивирусом и стырил файлы в свое облако.

Какие файлы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Работник какой компании?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Какие файлы?
Работник какой компании?

Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Читал пейджер, долго думал (с) не я

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Как не поддаётся ? Свежая статья Е.Касперского

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Как не поддаётся ? Свежая статья Е.Касперского

В статье речь о другом совсем. Насколько я понимаю, ZETA Shield анализирует контент, который через этот компонент проходит, выявляются аномалии, куски кода, которые далее отдаются другим компонентам.

У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Вот это как раз самое интересно. Получается HIPS просто завернули в другую упаковку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Мудрым людям необходимы пруфы, а не вбросы. А таких вбросов про Спорава мы уже видели-перевидели. Осталось только еще про Навального написать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

Но при этом замечу:

1. такая технология известна дцать лет

2. такая технология не будет эффективно работать по множеству причин. Простейшая звучит так - "приложение X обновлено разработчиками ввиду устранения баги Y и добавления фичи Z". Исполняемые файлы приложения поменялись, добавилась пара DLL. Обновление прошло скажем на 10 ПК, где это приложением применяется. Остался один простой вопрос - где гарантия, что злобный разработчик не добавил в программу небольшую недокументированную закладочку ? Для нанесения непоправимого вреда достаточно сотни байт кода, который утонет в мегабайтах полезного... поэтому понять, что приложение обновилось, тривиально. А вот понять, появились ли в нем закладки ...

3. Кто сказал, что система уже не модифицирована злодеями на момент внедрения ? (сравнивать то нужно с чем-то)

4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений. И периодические сканирования/сравнения, как сказано в начале топика, ничего не дадут - изменений оно не найдет. Или например на диске что-то создается, но имхо глупо надеяться, что APT будет на самом видном месте оставлять следы - логично выполнить свое черное дело, самоуничтожиться и затереть все следы активности. Сложную аппаратную закладку такое сканирование тоже не обнаружит - так как для аппаратной закладки никакие изменения в системе не нужны... От атаки на дырявое железо фирмы это тоже не спасет (так как мониторятся ПК, где все хорошо)

Это техническая сторона, а не техническая - те самые мусорные ведра, черновики, эксплуатация бардака с хранением флешек и защитой от воровства техники, социальная инженерия - имхо если речь идет о APT, то все это будет применяться, если цель оправдывает средства.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений.

Изменения в памяти, есть

обязательно изменения в системе у юзеров

Собственно на это я и намекаю.

С моей точки зрения быть только в памяти тупо, т.к. нужно закрепиться, а постоянно "пробивать" - неудобно. Даже серверы перезагружают. К тому же, мы не знаем как устроен ревизор Цезурити.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

В связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву? Все-таки репутационный ущерб как-никак.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву?

А кто такой этот гражданин Воробьев?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Lexluthor87
       Из своего личного опыта  могу поделиться следующей информацией. Кто-нибудь знаком с порядком получения микрокредитов в интернете? Я сам множество раз встречал в сети рекламу, типа, мгновенно любую сумму на ваш счет, без поручителей и залога, нужен только паспорт и ИНН...На днях срочно понадобились 3300 дол США  на 5-6 дней, и я начал искать варианты, типа быстроденьги и т.д. Я долго искал именно такой вариант, чтобы минимально переплачивать на процентах. Как я понял, в среднем процентные ставки микрокредитов в 2018 году составляют около 1-3% в день, это в основном зависит от суммы кредита. Но есть и варианты кредитов со ставкой менее 1%!!! Ставки 0,5-0,17% в день!!! Я нашел сам когда залез на https://fin32.com/ua , там куча предложений, пришлось перечитать массу вариантов, но оно того стоило. кому надо - пробуйте)
    • seomasterpro
      Если Ваш сайт работает на WordPress, то рекомендую установить плагин "Anti-Malware Security and Brute-Force Firewall".  Данный плагин является одним из немногих, что способны не только обнаруживать вредоносный код, но и умеют  удалять его. Функции и возможности. Автоматическое устранение известных угроз. Возможность загрузки определений новых угроз по мере их обнаружения. Автоматическое обновление версий TimThumb для устранения уязвимостей. Автоматическая установка обновления WP-login.php, чтобы блокировать атаку brute force. Возможность настроек сканирования. Запуск быстрого сканирования из админ. панели или полное сканирование из настроек плагина. Если Вам нужны рекомендации как пользоваться данным плагином для выявления вредоносных кодов на Вашем сайте, то можете обратиться к спецам от веб-студии на https://seo-master.pro Без регистрации плагин работает только в режиме сканирования. Регистрация плагина позволяет получить доступ к новым определениям «известных угроз» и другим функциям таким, как автоматическое удаление, а также патчи для конкретных уязвимостей , таких как старые версии TimThumb. Обновленные файлы определения могут быть загружены автоматически после того, как только Ваш ключ зарегистрирован. В противном случае, этот плагин просто сканирует на наличие потенциальных угроз и предоставляет Вам самостоятельно определять и удалять вредоносный код.
    • PR55.RP55
      Я с какой целью вам дал ссылку ? Откройте. И, если уж пишите про PC то стоит привести его характеристики. Asus k50c 2008 год; Windows 7; Одноядерный - Celeron 220 с тактовой частотой 1200 МГц; Память: DDR2 - 2ГБ. встроенная видеокарта: SiS Mirage 3+; HDD на 250 ГБ  
    • kostepanych
      А комодо без проблем работает без инета? Можно ли обновлять базы без инета, скачав обновления с официального сайта на другом компе?
      И не будет ли он сильно грузить старый ноут Asus k50c?
    • PR55.RP55
      + Info Software
      Media Lid
      Megabit
      Megabit, OOO
      'LLC' Dort
      "LLC" Dort