Jak ochráníte svoji síť v roce 2015? Michal Motyčka

Transkript

1 Jak ochráníte svoji síť v roce 2015? Michal Motyčka motycka@invea.com

2 Gartner doporučuje Gartner doporučuje monitorovat vnitřní síť pomocí Flow Monitoringu a NBA INVEA-TECH 2015

3 Přehled síťové bezpečnosti Viditelnost do sítě & bezpečnost Bezpečnost na perimetru Bezpečnost Koncových stanic INVEA-TECH 2015

4 Úlovky

5 Útok na HTTP autentizaci Zdravotnictví Vedeno z IP adresy v Indonésii Pokusy o uhodnutí hesla do phpmyadmin Detaily ze sedmé vrstvy (hostname, URL)

6 Porušování politik Průmyslová výroba TOR (Onion router) klient na koncové stanici Uživatel obchází bezpečnostní opatření Pro přístup k zablokovaným zdrojům

7 Infikovaná stanice Informační technologie Botnetem infikovaná stanice z lokální sítě zavlečená do DDoS útoků na Spamhaus

8 DNS Changer Informační technologie Změna používaného DNS serveru na stanici Možnost manipulace s DNS záznamy a přístupem na webové servery

9 Chybná konfigurace Průmyslová výroba Chybně nakonfigurovaný řídící systém Pokusy o navazování komunikace do Internetu V systému od výroby bez možnosti změny

10 Únik dat Obchodní společnost Zaměstnanec ve výpovědi Uložení interních dokumentů na sdílený disk poskytovaný službou Yahoo Zaznamenáno jako pohyb dat z LAN do internetu Po prošetření poměrně závažný incident

11 Odposlech provozu Služby Pokročilý malware přesměroval provoz na infikovanou stanici prostřednictvím DHCP

12 FlowMon řešení

13 Přehled technologií

14 FlowMon architektura Monitorováni síťového provozu FlowMon Sondy samostatné pasivní zdroje statistik ze sítě Sběr - statistik NetFlow o / IPFIX data provozu FlowMon Kolektor úložiště, vizualizace a vyhodnocení síťových statistik FlowMon ADS Vizualizace a detekce anomálií detekce anomálií, behaviorální analýza INVEA-TECH 2015

15 FlowMon řešení

16 FlowMon Monitoring Center

17 Network Monitoring Benefits Monitorování provozu sítě nové generace & Performance Monitoring (NetFlow/IPFIX) Informace o aktivních zařízeních v síti, Reporting & Alerting system na základě Vámi vytvořených profilů Viditelnost až do aplikační vrstvy L7 (URL, hostnames) Značně snižuje náklady na síťové implementace a jejich správu INVEA-TECH 2015

18 FlowMon řešení

19 FlowMon ADS

20 Bezpečnostní analýza Síťová bezpečnost nové generace Behaviorální analýza & detekce anomálií Odhaluje a rozpoznává útoky, které nejsou detekovány řešeními postavenými na signaturách Detekuje podezřelé změny chování Reportuje anomálie, DDoS i Advanced Persistant Threats INVEA-TECH 2015

21 IPS vs. NBA (IDS vs. ADS) IPS (Intrusion Prevention System) Detekce útoků založená na rozpoznávání signatur Založeno na analýze aplikací L7 Ochrana proti známým hrozbám již detekovaným a pojmenovaným Závislé na databázi vzorů výrobce Působí na perimetru, neefektivní proti vnitřním hrozbám Nepoužitelné pro šifrovaný provoz Blokuje podezřelý provoz NBA (Network Behavior Analysis) Detekce změn chování a podezřelé komunikace Založeno na analýze IP statistik Detekce pokročilých útoků, Zero- Day útoků Nepoužívá žádné signatury LAN, WAN, analýza perimetru - odhalí vnitřní hrozby Pracuje i s šifrovaným provozem Pasivní pouze informuje Signature detection Host or network level INVEA-TECH 2015 Behavior detection Network level

22 Shrnutí

23 FlowMon řešení

24 FlowMon Traffic Recorder

25 FlowMon Traffic Recorder Záznam vybraného provozu datové sítě on demand v plném rozsahu (L2-L7) Podpora 10 Gbps sítí Výsledky ve formátu PCAP pro následnou analýzu Široké možnosti filtrace a kritérií pro záznam provozu Distribuovaná architektura pro zadávání požadavků z centrálního kolektoru

26 FlowMon řešení

27 FlowMon APM

28 Technický přehled Nový FlowMon plug-in Application Performance Monitoring Pracuje na L7, rekonstrukce TCP spojení Distribuovaná architektura (Sonda, Kolektor) Měření doby odezvy a výkonu aplikace Navrženo pro HTTP&HTTPS aplikace Co měříme? APM index výkon aplikace v jednom čísle Doba odezvy serveru Doba přenosu dat Trendy, percentily, uživatelé, chybové kódy, atd. loading, please wait

29 FlowMon řešení

30 FlowMon DDoS Defender

31 Co umí DDoS Defender? Detekce útoků typu DoS a DDoS a upozornění uživatele v reálném čase Pokročilé možnosti okamžité reakce (spuštění skriptu, mitigace) Postačuje základní kvalita flow dat z běžných aktivních prvků (NetFlow v5/v9, IPFIX, jflow, NetStream, sflow) Přesměrování provozu do čističky či scrubbing centra Výsledek? Významné zrychlení reakční doby na útok

32 FlowMon řešení

33 INVEA-TECH Česká společnost, univerzitní spin-off, spolupráce CESNET a univerzity, projekty EU Založena 2007 Oblasti působení: Flow Monitoring Network Behavior Analysis NPM, APM, Packet Capture Přes 500 instalací řešení FlowMon

34 Kontakt High-Speed Networking Technology Partner Michal Motyčka INVEA-TECH a.s. U Vodárny 2965/ Brno Czech Republic