新世代安全防禦思維-ISAC session

Size: px

Start display at page:

Download "新世代安全防禦思維-ISAC session"

帖燕
4 years ago
Views:

1 新世代安全防禦思維網路異常為及威脅分析 Allen Yu / 思科資安戰略暨資深顧問 Jan 26, 2018 新世代安全防禦思維 - 智慧監測機制 1

2 安全成熟度與防禦功能安全管理能見度 ( / 事 / 時 / 地 / 物 ) WHERE WHAT WHEN Hardware-enabled NetFlow Switch WHO HOW Devices Internal Network Context Devices Firewall Router 使用網路為資料控管內部相關設備蒐集多樣性資訊 / 資料 / 流量 / 使用身份 / 事件 / 應用程式檢測 / 調查 / 報告的網路為威脅管理 2

安全行為異常檢測方法 1 2 # Concurrent flows Packets per second Bits per second New flows created

80+ other attributes Number of SYNs 3 Collect & Analyze Flows threshold threshold Establish

Exchange Server Web Servers Alarm on Anomalies & Changes in Behavior Marketing BASELINING

3 安全行為異常檢測方法 1 2 # Concurrent flows Packets per second Bits per second New flows created Number of SYNs sent Time of day received Rate of connection resets Duration of the flow Over 80+ other attributes Number of SYNs 3 Collect & Analyze Flows threshold threshold Establish Baseline of Behaviors Anomaly detected in host behavior threshold threshold Critical Servers Exchange Server Web Servers Alarm on Anomalies & Changes in Behavior Marketing BASELINING 網路安全為學習法論流量的內容 / 向 / 小量 / 時間什麼是網路正常為的設定檔正常的網路為屬性的基線組織網路為的學習與應用網路為基準線為基礎進階式網路為的監控及管理 3

當你看不見攻擊的時候, 肯定無法保護自己 Internal Visibility from Edge to Access, Network Is Your Sensor 3850 Stack(s) Cat4k VPC Servers Edge WAN Firewall IPS Proxy Core Distribution Access UCS ISE Reputation ACCESS ASA

4 當你看不見攻擊的時候, 肯定無法保護自己 Internal Visibility from Edge to Access, Network Is Your Sensor 3850 Stack(s) Cat4k VPC Servers Edge WAN Firewall IPS Proxy Core Distribution Access UCS ISE Reputation ACCESS ASA Internet ASR X San Jose WAN DATACENTER CORE Cat6k New York Atlanta 3925 ISR Nexus 7000 UCS with Nexus 1000v Network as a Scalable Source of Truth Internet Usage Packet count Byte count Source IP address Destination IP address From/To Time Start sysuptime End sysuptime Packet count Byte count Application Internal Network NetFlow Data NetFlow Collector Port Utilization QoS Input ifindex Output ifindex Type of Service TCP flags Protocol Next hop address Source AS number Dest. AS number Source prefix mask Dest. prefix mask Key NetFlow Fields Routing and Peering 4

Conversational Flow Record Who What How Who When Where More

conversation in your network An ability to collect record

Network usage measurement An ability to find north-south as

compared to SPAN based traffic analysis Indications of

Packets SOURCE ADDRESS 10.1.8.3 DESTINATION ADDRESS 172.168.

5 Conversational Flow Record Who What How Who When Where More context NetFlow 提供網路可視性 Switches Routers NetFlow provides Trace of every conversation in your network An ability to collect record everywhere in your network (switch, router, or firewall) Network usage measurement An ability to find north-south as well as east-west communication Light weight visibility compared to SPAN based traffic analysis Indications of Compromise (IOC) Security Group Information Flow Information Packets SOURCE ADDRESS DESTINATION ADDRESS SOURCE PORT DESTINATION PORT 443 INTERFACE IP TOS Gi0/0/0 0x00 IP PROTOCOL 6 NEXT HOP TCP FLAGS 0x1A SOURCE SGT 100 APPLICATION NAME : : NBAR SECURE- HTTP Internet 5

發現駭客的交互控制活動 1. 安全智慧情報庫即時更新 (Talos 持 ) 2.

連接 3. 即時更新 CnC 資訊, 可以成功檢測 CnC 駭客控制活動和連接 v

6 網路異常為分析應場景網路和安全視覺化報告網路分段和主機分組了解網路險展通訊狀態險主機為分析和統計安全告警分類和趨勢分析分析報告模版化動化稽核與合規分析網路異常為分析遠端存取和控制為分析異常或惡意的 DNS 活動分析網路流量地域分佈異常分析檢測隱秘流量出情況鑒定標準埠下的偽造應連接網路和應性能分析安全威脅為分析駭客掃描和探測攻擊分析惡意代碼或蠕蟲擴散分析敏感資料收集和資訊洩漏 DDOS 攻擊分析暴破解密碼嘗試活動分析事件回應和調查取證檔案共濫合規分析量下載商務資料合規分析業務節點之間網路應和服務存取合規性檢查網路和應狀態和傳輸分析 RTT 統計分析和告警 SRT 統計分析和告警安全事件快速調查和追蹤, 縮短回應時間安全告警發送到協廠商平臺聯合調查如何檢測勒索軟體 v 動識別惡意程式的傳播 1. 收集 NetFlow 資訊, 機器學習分析 2. 發現基於 SMB(TCP 445) 等險服務埠的掃描探測為量異常連接和流量 3. 動追蹤惡意程式碼的傳播軌跡和影響範圍, 調查源頭和途徑 v 發現駭客的交互控制活動 1. 安全智慧情報庫即時更新 (Talos 持 ) 2. 即時更新 Tor 節點資訊, 可以成功檢測 Tor 匿名活動和 Bogon IP 連接 3. 即時更新 CnC 資訊, 可以成功檢測 CnC 駭客控制活動和連接 v 關聯分析和聯動緩解險 1. 基於業務主機和主機組進關聯分析, 動識別險指數的變化, 動產告警 2. 可以和 Cisco ISE 集成, 實現基於的追蹤發現險告警 3. 並通過 ISE 的准控制, 對受影響主機進隔離阻斷 FlowCollector Management Console Cisco ISE SMB(TCP 445) Tor Exit Node CnC Tor Client Tor relays 6

7 網路為統計與監控板主機組存取關係與監控 7

8 檢測資料洩漏 Management 5. 被認為是可疑資料洩露事件, 觸發告警 3. 對 Netflow 資料進收集和分析 FlowCollector Management Console Cisco ISE 4. 結合 ISE 提供的情景感知資訊, 對 Netflow 資料進分析 Devices 2. 網路設備記錄該為, 並成 Netflow 記錄 Internal Network 1. 被感染主機發起個連接, 並開始匯出資料 NetFlow Capable 識別掃描為 FlowCollector Management Management Console Cisco ISE 5. 可疑指數 CI 上升, 網路掃描為觸發告警 3. 對 Netflow 資料進收集和分析 4. 結合 ISE 提供的情景感知資訊, 對 Netflow 資料進分析 Devices 2. 網路設備記錄該為並成 NetFlow 記錄 Internal Network 1. 被感染主機在內網中發起隨機的 Ping 和其他嗅探為 NetFlow Capable 8

9 檢測端點與 C2 的通信 NetFlow 收集器管理平臺 SMC 思科 ISE 認證平臺 6. 可疑指數 CI 上升, 觸發異常為告警 4. 對 Netflow 資料進收集和分析 5. 結合 ISE 提供的情景感知資訊, 對 Netflow 資料進分析 2. 在返回流量中包含了操作指令終端 3. 網路設備記錄該為並成 NetFlow 記錄 Internal Network 1. 被感染主機從內網向 C2 伺服器建了個通信連接 NetFlow Capable 感染軌跡第三個感染第個感染初始感染 9

應安全安全應程式設計應評估企業 SDLC 監督控制和資料收集系統 (SCADA) 移動與雲安全移動應和設備評估雲戰略與結構雲應程式評估安全評估架構和設計安全服務組合諮詢整合整合遷移整合

代管優化優化訂報告多種設備集成性能調優優化服務業合規標準評估 PCI DSS 和 PA DSS 評估 ISO 27001/27002 HIPAA 產品援安全託管安全管理基礎設施安全網路架構評估

遠程管理設備健康安全控制管理安全事件監控管理威脅防禦級威脅檢測和分類丶聚焦異常檢測客特定的緩解 19 結論 : 當網路犯罪成為主流管理預期確保管理層認識到攻擊的本質是與數位軍備競賽戰建智慧監測機制

10 應安全安全應程式設計應評估企業 SDLC 監督控制和資料收集系統 (SCADA) 移動與雲安全移動應和設備評估雲戰略與結構雲應程式評估安全評估架構和設計安全服務組合諮詢整合整合遷移整合設計, 開發, 實施 SOC 構建和集成評估測試計畫開發與執設備評估驗證和測試策略, 險, 計劃 IT 治理安全性原則與政策 IT 險評估協廠商險計畫份和訪問管理事故準備和回應主動威脅搜索案策略代管優化優化訂報告多種設備集成性能調優優化服務業合規標準評估 PCI DSS 和 PA DSS 評估 ISO 27001/27002 HIPAA 產品援安全託管安全管理基礎設施安全網路架構評估紅軍鍛煉丶滲透測試 SOC 分割 2015 Cisco and/or its affiliates. All rights reserved. 遠程管理設備健康安全控制管理安全事件監控管理威脅防禦級威脅檢測和分類丶聚焦異常檢測客特定的緩解 19 結論 : 當網路犯罪成為主流管理預期確保管理層認識到攻擊的本質是與數位軍備競賽戰建智慧監測機制知道要尋找什麼, 並建資訊安全與網路監控機制, 以尋找所要尋找之物重新設計 IT 架構網路安全分區轉為應功能型攻擊者難在網路四處遊蕩從難以發現最寶貴的資訊實戰的培訓培訓 IT 管理者以識別攻擊及防禦知識與段存取控制權控制特權使者的存取情報蒐集與分析讓情報成為安全戰略的基 / 分享資訊安全威脅情報 10

11 Thanks 11

ARP ICMP

ARP ICMP 2 9-1 ARP 9-2 ARP 9-3 ARP 9-4 ICMP 9-5 ICMP 9-6 ICMP 9-7 ICMP 3 ARP ICMP TCP / IP, IP ARP ICMP 3 IP, ARP ICMP IP ARP ICMP 2, 4 9-1 ARP, MAC, IP IP, MAC ARP Address Resolution Protocol, OSI ARP,,