Перейти к содержанию
Сергей Ильин

Технологии динамического обнаружения целенаправленных атак

Recommended Posts

Сергей Ильин

Вы еще пугаете людей APT? Тогда Cezurity уже идет к вам :)

Сегодня пришел вот такой пресс-релиз:

*******************

Компания Cezurity, российский разработчик средств обеспечения информационной безопасности, объявляет о завершении разработки собственной технологии обнаружения целенаправленных (таргетированных) атак на информационные системы предприятий.

Характер обнаруженных в последнее время атак (Stuxnet, Duqu, операция Аврора, атака на компанию RSA Security и др.) говорит о том, что компьютерные угрозы изменились. Хотя киберпреступность существует уже много лет, сегодня она начинает приобретать черты организованной и хорошо финансируемой индустрии.

Все более распространенными становятся так называемые целенаправленные атаки (Advanced Persistent Threats, APT) ключевая особенность которых состоит в том, что преступников интересуют конкретные цели. Как правило, такими целями являются информационные системы предприятий и даже государств. С помощью атаки решаются задачи, связанные с кибершпионажем или получением той или иной выгоды от компрометации данных. При этом, так как данные всегда защищены, основной точкой приложения усилий атакующих становится обход существующей защиты. Традиционные средства защиты, такие как, например, антивирусы, хотя и продолжают использоваться повсеместно, сегодня не в состоянии справиться с целенаправленными атаками.

Целенаправленые атаки обычно растянуты во времени и поэтапны. От начала атаки до момента уничтожения следов присутствия могут пройти годы. При этом злоумышленники используют самые разные методы сбора данных и внедрения в информационные системы. Это может быть социальная инженерия, эксплуатация известных и неизвестных (0day) уязвимостей, вредоносные программы и инструменты сокрытия их присутствия в системах. В атаках могут участвовать инсайдеры – помощники злоумышленников, работающие в атакуемых организациях.

Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

Для того, чтобы обнаружить атаку, оцениваются изменения систем во времени. Каждый из компьютеров, составляющих IT-инфраструктуру, периодически сканируется – собирается информация о состоянии критических объектов. Это такие характеристики, как, например, геометрия исполняемых файлов, положение объектов в системе, их взаимосвязь между собой, поведенческие портреты приложений. Полученная информация классифицируется и сравнивается с результатами прошлых сканирований. В произошедших изменениях осуществляется поиск аномалий. Найденные аномалии подвергаются машинному, а при необходимости и ручному анализу.

В отличие от традиционных подходов, при динамическом обнаружении анализируются не отдельные состояния систем, а произошедшие изменения. Безопасность обеспечивается тем, что защита, как и сама атака, представляет собой постоянный, протяженный во времени процесс, в котором центральное место занимает обнаружение действий злоумышленников.

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

Одно из ключевых преимуществ разработанной Cezurity технологии состоит в том, что атака может быть обнаружена вовремя – на самой ранней стадии. При этом детектироваться будет любая из попыток и любой из этапов атаки, что позволит значительно снизить риск компрометации IT-инфраструктуры.

“Обратная сторона высокой точности обнаружения – это необходимость обрабатывать огромное количество информации, – говорит Кирилл Пресняков, – в основе нашего подхода лежат как облачные технологии, в первую очередь – разработанная Cezurity платформа анализа Cezurity Cloud, так и целый ряд методов интеллектуальной обработки больших массивов данных. За счет того, что основная часть вычислительных процессов происходит в облаке, в решении Cezurity удалось совместить точность детектирования с высокой стабильностью работы и крайне низким влиянием на клиентские приложения”.

*****************************

Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

"К нам едет ревизор!" ;)

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

О, знакомые всё лица ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus

Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Вы сейчас о ком?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Вероятнее всего антивирусом и стырил файлы в свое облако.

Какие файлы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor
Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Работник какой компании?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus
Какие файлы?
Работник какой компании?

Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Читал пейджер, долго думал (с) не я

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
KIS_fan
Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Как не поддаётся ? Свежая статья Е.Касперского

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Как не поддаётся ? Свежая статья Е.Касперского

В статье речь о другом совсем. Насколько я понимаю, ZETA Shield анализирует контент, который через этот компонент проходит, выявляются аномалии, куски кода, которые далее отдаются другим компонентам.

У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Вот это как раз самое интересно. Получается HIPS просто завернули в другую упаковку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Мудрым людям необходимы пруфы, а не вбросы. А таких вбросов про Спорава мы уже видели-перевидели. Осталось только еще про Навального написать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

Но при этом замечу:

1. такая технология известна дцать лет

2. такая технология не будет эффективно работать по множеству причин. Простейшая звучит так - "приложение X обновлено разработчиками ввиду устранения баги Y и добавления фичи Z". Исполняемые файлы приложения поменялись, добавилась пара DLL. Обновление прошло скажем на 10 ПК, где это приложением применяется. Остался один простой вопрос - где гарантия, что злобный разработчик не добавил в программу небольшую недокументированную закладочку ? Для нанесения непоправимого вреда достаточно сотни байт кода, который утонет в мегабайтах полезного... поэтому понять, что приложение обновилось, тривиально. А вот понять, появились ли в нем закладки ...

3. Кто сказал, что система уже не модифицирована злодеями на момент внедрения ? (сравнивать то нужно с чем-то)

4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений. И периодические сканирования/сравнения, как сказано в начале топика, ничего не дадут - изменений оно не найдет. Или например на диске что-то создается, но имхо глупо надеяться, что APT будет на самом видном месте оставлять следы - логично выполнить свое черное дело, самоуничтожиться и затереть все следы активности. Сложную аппаратную закладку такое сканирование тоже не обнаружит - так как для аппаратной закладки никакие изменения в системе не нужны... От атаки на дырявое железо фирмы это тоже не спасет (так как мониторятся ПК, где все хорошо)

Это техническая сторона, а не техническая - те самые мусорные ведра, черновики, эксплуатация бардака с хранением флешек и защитой от воровства техники, социальная инженерия - имхо если речь идет о APT, то все это будет применяться, если цель оправдывает средства.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений.

Изменения в памяти, есть

обязательно изменения в системе у юзеров

Собственно на это я и намекаю.

С моей точки зрения быть только в памяти тупо, т.к. нужно закрепиться, а постоянно "пробивать" - неудобно. Даже серверы перезагружают. К тому же, мы не знаем как устроен ревизор Цезурити.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus

В связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву? Все-таки репутационный ущерб как-никак.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву?

А кто такой этот гражданин Воробьев?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • ArktiTig
      Арктика - северная полярная область Земли, включающая окраины материков Евразии и Северной Америки, почти весь Северный Ледовитый океан с островами и прилегающие к нему части Атлантического и Тихого океанов. Название её происходит от греческого слова arctos (медведь) и связано со звёздами: Полярная звезда, находящаяся почти точно в зените над Северным полюсом, принадлежит к созвездию Малая Медведица.
    • PR55.RP55
      .xml  файлы taskschd.msc Могут быть подписаны  цифровой подписью. Думаю будет нелишним, если uVS будет это фиксировать. т.е. проверять не только подпись целевого файла, но и подпись самого файла\задачи. и писать в ИНфО .  
    • demkd
      ---------------------------------------------------------
       4.15.2
      ---------------------------------------------------------
       o Исправлена ошибка при работе с образом автозапуска.
         Для некоторых процессов команда unload не добавлялась в скрипт при нажатии кнопки "принять изменения".  o Добавлена плашка окна на таскбаре для окна удаленного рабочего стола.
         (при работе с удаленной системой) -----------------------------------------------------------
      Есть проблема с локализацией глюка в редких случаях приводящему к аварийному завершению uVS при активном флаге "Проверять весь HKCR".
      На основе дампов его найти не получается, нужна копия реестра системы с такой проблемой, если кому-то попадется такая проблема, то присылайте архив с копией реестра системы мне на почту.  
×