TRAPS PRVNÍ SKUTEČNĚ FUNGUJÍCÍ OCHRANA PRO DESKTOPY A SERVERY

Transkript

1 ANTIVIRUS JE MRTEV TRAPS PRVNÍ SKUTEČNĚ FUNGUJÍCÍ OCHRANA PRO DESKTOPY A 14. listopadu 2017 SERVERY Jakub Jiříček, CISSP, CNSE jjiricek@paloaltonetworks.com

2 Srovnání účinnosti tradiční a nové ochrany koncových bodů Endpoint Protection Solutions Report 10/2017 Autoři: Kevin Bo rner, Markus Reiniger, Daniel Vollmer Účinnost detekce 8000 vzorků malware 50% ransomware, 20% Trojské koně, 10% 0-day, 20% ostatní Basic test Holiday test Tradiční AV 48%-94% 12%-76% Next-Gen 66%-99% 47%-99% , Palo Alto Networks. Confidential and Proprietary.

3 Tradiční antiviry jsou příliš pomalé, ukazuje WildFire 71.9M 37.5% 5.3M škodlivých souborů, které zkoumá WildFire jsou detekovatelné top 6 tradičními AV *. 2.0M All Files Malicious Detected by AV *Average monthly values as of January Source: Palo Alto Networks WildFire and Multi-Scanner , Palo Alto Networks. Confidential and Proprietary.

4 Prevenci je třeba poskládat z více metod ÚVODNÍ PRŮZKUM SPUŠTĚNÍ MALWARE NAPADENÍ KONCOVÉHO BODU ZNEUŽITÍ ZRANITELNOSTÍ V SOFTWARE RYCHLE SE MĚNÍCÍ MALWARE NAVÁZÁNÍ KOMUNIKACE K ŘÍDÍCÍMU SERVERU DOSAŽENÍ CÍLE ÚTOKU FILE-LESS ATTACK BEZ-SOUBOROVÝ ÚTOK CÍLENÝ MALWARE MAKRA, SKRIPTY, ATD. TYPICKÝ CÍLENÝ ÚTOK - PRŮBĚH , Palo Alto Networks. Confidential and Proprietary.

5 Exploits = Datové soubory a obsah přeměněný v nákazu Zneužije běžnou aplikaci Malware Spustitelné programy Provádí škodlivou aktivitu přímo

6 Prevence škodlivého kódu kombinací metod /malware/ ZNEUŽITÍ ZRANITELNOSTÍ V SOFTWARE BEZ-SOUBOROVÉ ÚTOKY ŠKODLIVÝ KÓD MORFUJÍCÍ CÍLENÝ ZMENŠENÍ PLOCHY PRO ÚTOK Policy Controls, Child Processes, Execution Restrictions ZASTAVENÍ ZNÁMÝCH ŠKODLIVÝCH KÓDŮ WildFire Threat Intelligence ZASTAVENÍ NEZNÁMÝCH ŠKODLIVÝCH KÓDŮ Local Analysis via Machine Learning DETEKCE POKROČILÝCH HROZEB WildFire Inspection & Analysis MAKRA / SKRIPTY , Palo Alto Networks. Confidential and Proprietary.

7 A jak proti škodlivému kódu chrání Traps výzkum hrozeb lokální analýza dynamická analýza zastavení škodlivých procesů ochrana před ransomware Enhanced in 4.0 Enhanced in 4.0 Introduced in 4.0 Enhanced in 4.1 Enhanced in 4.1 Enhanced in 4.1 New in , Palo Alto Networks. Confidential and Proprietary.

8 Prevence zneužití zranitelností /exploits/ ZAMEZENÍ PRŮZKUMU ŠKODLIVÝ KÓD OCHRANA PAMĚTI PŘED ÚTOKY ZNEUŽITÍ ZRANITELNOSTÍ V SOFTWARE MORFUJÍCÍ OCHRANA SPOUŠTĚNÍ KÓDU OCHRANA JÁDRA BEZ-SOUBOROVÉ ÚTOKY CÍLENÝ MAKRA / SKRIPTY , Palo Alto Networks. Confidential and Proprietary.

9 A jak proti zneužitím zranitelností chrání Traps ochrana ještě před vlastním útokem automatické zamezení zjišťování zranitelností útočnými nástroji ochrana před technikami zneužití zranitelností zablokování útočných technik, kterými útočníci manipulují s dobrými aplikacemi ochrana jádra OS ochrana před zneužitím jádra operačního systému Intro d in 4.0 Intro d in 4.0 Enhanced in , Palo Alto Networks. Confidential and Proprietary.

10 Zneužití zranitelností povolených aplikací - Exploits Zranitelnosti v běžných a používaných aplikacích (např. Adobe reader) JIT Záplaty od výrobce DLL Etcetera (použití funkcí OS) Zahájení zlomyslné aktivity: Povolená aplikace stažení malware (e.g. *winrun.exe*) krádež citlivých dat zašifrování disku (ransomware) smazání dat a další , Palo Alto Networks. Confidential and Proprietary.

11 Traps blokuje zneužití zranitelností Zastavení jedné techniky v řetězci poruší celou útočnou sekvenci Povolená aplikace zneužití zranitelnosti Škodlivá aktivita nenastává Traps EPM , Palo Alto Networks. Confidential and Proprietary.

12 Celkový počet Traps se soustředí na základy Aktualizace Nejdřív je třeba opravit zranitelnost, pak aplikovat aktualizaci Signatury / chování Je třeba znát škodlivé datové soubory Čas Traps Bez aktualizací, nemusí znát zranitelnosti a bez signatur (!) , Palo Alto Networks. Confidential and Proprietary.

13 Tenhle přístup se vyplácí ČAS Traps verze Zjištění zranitelnosti v Adobe Flash Player (CVE ) Pokusy o zneužití zranitelnosti útočníky Traps pokusy blokuje Traps v2.3.6 Traps zastavuje Zero-day a doposud neznámá zneužití zranitelností bez aktualizací nebo záplat od původní instalace , Palo Alto Networks. Confidential and Proprietary.

14 Hlavní novinky ve verzi Traps 4.1 VYLEPŠENÁ OCHRANA PŘED ZNEUŽITÍM JÁDRA OS OCHRANA PŘED RANSOMWARE OCHRANA PŘED ŠKODLIVÝMI DLL NASTAVITELNÁ OCHRANA PODŘÍZENÝCH PROCESŮ LOKÁLNÍ ANALÝZA PRO MAC OS , Palo Alto Networks. Confidential and Proprietary.

15 A ještě jedno nezávislé testování - AV-TEST potvrzení, že Traps plně nahrazuje tradiční antivir 100% detekce skutečných vzorků (bez signatur) Naprosto nezpomaluje Jediný zástupce next-gen ochrany testovaný letos AV- TEST Výsledné skóre lepší než průměr tradičních výrobců testovaná verze 4.0 Q3, , Palo Alto Networks. Confidential and Proprietary.

16 Traps vs. WannaCry zneužívá SMB zranitelnost již dříve opravenou výrobcem (Microsoft) získává oprávnění na úrovni jádra OS přímým zneužitím volání jádra instaluje nástroj DoublePulsar, který může spouštět škodlivý kód voláním legitimních procesů v místní síti hledá další koncové body s SMB zranitelností a šíří se na ně spouští WannaCry Ransomware, zašifruje počítač , Palo Alto Networks. All rights reserved.

17 Traps vs. WannaCry zneužívá SMB zranitelnost již dříve opravenou výrobcem (Microsoft) zjištěný škodlivý EXE soubor lokální analýza získává oprávnění na úrovni jádra OS přímým zneužitím volání jádra WildFire Threat Intelligence ochrana před analýza ve ransomware WildFire založená na spouští WannaCry Ransomware, zašifruje počítač analýze chování ochrana zneužití jádra OS instaluje nástroj DoublePulsar, který může spouštět škodlivý kód voláním legitimních procesů zablokování procesu šířícího nákazu pomocí shell code zastavená známá hrozba zjištěné a zastavené chování ransomware ochrana podřízených procesů v místní síti hledá další koncové body s SMB zranitelností a šíří se na ně zablokování spustitelných souborů, které šíří škodlivý kód dalšími procesy , Palo Alto Networks. All rights reserved.

18 Pozvánky Webinář , 9:30-10:00 Ukázka zastavení nákazy živým vzorkem ransomware Demo Traps konzole/klienta Registrace, detaily: Praktický workshop nejbližší , dopoledne Praha 10 ve spolupráci se TechData přineste si vlastní PC Registrace, detaily: , Palo Alto Networks. Confidential and Proprietary.

19 Traps vs. NotPetya dojde k zašifrování Master Boot Record uživatel spustí domnělou spouští škodlivé DLL aktualizaci a tím nastartuje škodlivý kód, který zavolá neautorizované procesy zneužití už opravené Microsoft SMB zranitelnosti přímým voláním jádra OS získá nejvyšší oprávnění nainstaluje nástroj DoublePulsar, který může spouštět škodlivý kód voláním běžných procesů spouští škodlivé EXE spouští škodlivé DLL spouští škodlivý EXE, aby sbíral aspoň přihlašovací údaje na systémech, které nelze zneužít získá přístup pomocí ukradených přístupových údajů spouští škodlivé EXE spouští škodlivé DLL , Palo Alto Networks. All rights reserved.

20 Traps vs. NotPetya ochrana podřízených procesů uživatel spustí domnělou aktualizaci a tím nastartuje škodlivý kód, který zavolá neautorizované procesy zneužití už opravené Microsoft SMB zranitelnosti přímým voláním jádra OS získá nejvyšší oprávnění škodlivé EXE lokální analýza analýza WildFire WildFire Threat spouští škodlivý Intelligence EXE, aby sbíral aspoň přihlašovací údaje na systémech, které nelze zneužít zablokované škodlivé výchozí ochranou spouštění skriptů DLL spouští škodlivé DLL získá přístup pomocí ukradených přístupových údajů dojde k zašifrování Master Boot Record ochrana zneužití jádra OS nainstaluje nástroj DoublePulsar, který může spouštět škodlivý kód voláním zablokování běžných procesu procesů šířícího nákazu pomocí shell code ochrana podřízených procesů spouští škodlivé EXE ochrana podřízených procesů spouští škodlivé EXE škodlivé DLL spouští škodlivé DLL škodlivé DLL spouští škodlivé DLL , Palo Alto Networks. All rights reserved.