Синхронизирана сигурност в Sophos Central

За да се осигури висока ефективност на средствата за информационна сигурност, важна роля играе свързаността между компонентите им. Тя позволява да бъдат затворени не само външни, но и вътрешни заплахи. При проектирането на мрежовата инфраструктура всяко средство за защита е от съществено значение, било то антивирусна програма или firewall, за да функционират не само в рамките на своя клас (Endpoint security или NGFW), а и да имат възможността да взаимодействат помежду си в борбата с заплахите.

Няколко теории

Не е изненада, че съвременните киберпрестъпници станаха по-предприемчиви. За разпространението на зловреден софтуер те използват редица мрежови технологии:

Фишинг разпределението по електронната поща води до това, че зловредният софтуер "преминава прага" на вашата мрежа, използвайки известни атаки или "атаки с нулеви дни" с последващо повишаване на привилегиите или хоризонтално движение (lateral movement) в мрежата. Наличието на едно единствено заразено устройство може да означава, че вашата мрежа може да бъде използвана в корисни цели от злонамерени лица.

В някои случаи, когато е необходимо да се осигури взаимодействие между компонентите на ИБ, при провеждане на одит на информационната сигурност текущото състояние на системата не може да бъде описано с помощта на единен комплекс от мерки, свързани помежду си. В повечето случаи много технологични решения, фокусирани върху противодействието на определен вид заплаха, не предвиждат интеграция с други технологични решения. Например, продуктите за защита на крайни устройства използват сигнатурен и поведенчески анализ за определяне на това дали файлът е заразен или не. За спиране на злонамерения трафик, междусетевите екрани използват други технологии, сред които могат да се включат уеб-филтрация, IPS, песsandbox и т.н. Въпреки това, в повечето организации тези компоненти на информационната сигурност не са свързани помежду си и работят изолирано.

Тенденции в реализацията на технологията Heartbeat

Новият подход към осигуряване на киберсигурността предполага защита на всеки ниво, при което решенията, използвани на всяко от тях, са свързани помежду си и имат възможност за обмен на информация. Това води до създаването на система Synchronized Security (SynSec). SynSec представлява процес на осигуряване на информационната сигурност като единна система. В този случай всеки компонент на осигуряването на информационната сигурност е свързан помежду си в реално време. Например, решението Sophos Central е реализирано по този принцип.

Технологията Security Heartbeat осигурява свързване между компонентите на сигурността, гарантиращо съвместното функциониране на системата и нейния мониторинг. В Sophos Central са интегрирани решения от следните класове:

• Endpoint Protection — класическият сигнатурен антивирус;
• Server Protection — специализиран антивирус за сървъри;
• Intercept-X — антивирус от ново поколение (без сигнатури и с технологии за изкуствен интелект);
• Sophos XG Firewall — Next-Generation Firewall;
• Mobility Management (EMM) — управление на мобилни устройства и контрол на достъпа до корпоративната поща и файлове;
• Data Protection (Encryption);
• Secure Wi-Fi — точки за достъп, управлявани както от облака, така и локално чрез Sophos UTM / Sophos XG;
• Web Security — класическо решение за филтриране на уеб трафик;
• E-mail Security — облачно/локално анти-спам/антивирусно решение;
• Phish Threat — повишаване на осведомеността на служителите, провеждане на тестови фишинг разпратки;
• Cloud Optix — одит на облачни инфраструктури.

Не е трудно да се забележи, че Sophos Central поддържа достатъчно широк спектър от решения в областта на информационната сигурност. В Sophos Central концепцията SynSec се основава на три важни принципа: откриване, анализ и реагиране. За подробно тяхното описание, ще се спрем на всеки от тях.

Концепции SynSec

ОБНАРУЖЕНИЕ (идентифициране на непознати заплахи)
Продуктите на Sophos, управлявани от Sophos Central, автоматично обменят информация помежду си за идентифициране на рискове и непознати заплахи, което включва:

• анализ на мрежовия трафик с възможност за идентифициране на приложения с висок риск и злонамерен трафик;
• откриване на потребители с висока група риск чрез корелационен анализ на тяхното поведение в мрежата.

АНАЛИЗ (мигновен и интуитивен)
Анализ на инциденти в реално време осигурява мигновено разбиране на текущата ситуация в системата.

• показване на цялата верига от събития, които са довели до инцидента, включително всички файлове, ключове от регистъра, URL адреси и др.

РЕАГИРАНЕ (автоматично реагиране на инциденти)
Настройването на политики за сигурност позволява автоматично реагиране на заразяване и инциденти за секунди. Това се осъществява чрез:

• мигновена изолация на заразените устройства и спиране на атаката в реално време (дори в рамките на една мрежа / широковещателен домейн);
• ограничаване на достъпа до мрежовите ресурси на компанията за устройства, които не отговарят на политиките;
• отдалечен старт на сканиране на устройството при открит изходящ спам.

Разгледахме основните принципи на защита, на които се основава работата на Sophos Central. Сега нека преминем към описанието на това как технологията SynSec показва своите качества в действие.

От теория към практика

Първо, разясняваме как се установява взаимодействието между устройствата по принципа SynSec чрез технологията Heartbeat. Първият етап е регистрацията на Sophos XG в Sophos Central. На този етап той получава сертификат за самоидентификация, IP адрес и порт, чрез който крайните устройства ще взаимодействат с него чрез технологията Heartbeat, както и списък с ID на крайните устройства, управлявани чрез Sophos Central и техните клиентски сертификати.

Скоро след регистрацията на Sophos XG, Sophos Central ще предаде на крайните устройства информация за иницииране на взаимодействие чрез технологията Heartbeat:

• списък с центрове за сертификация, използвани за издаване на сертификати на Sophos XG;
• списък с ID на устройства, които са регистрирани в Sophos XG;
• IP адрес и порт за взаимодействие чрез технологията Heartbeat.

Тази информация се съхранява на компютъра на следния път: %ProgramData%SophosHearbeatConfigHeartbeat.xml и редовно се актуализира.

Комуникацията по технологията Heartbeat се осъществява чрез изпращане на съобщения от крайна точка до магическия IP адрес 52.5.76.173:8347 и обратно. По време на анализа бе установено, че пакетите се изпращат на 15 секунди, както е обявено от продавача. Трябва да се подчертае, че съобщенията Heartbeat се обработват директно от XG Firewall — той прихваща пакетите и следи статуса на крайна точка. Ако се извърши улавяне на пакети на хоста, движението на трафика ще изглежда като комуникация с външен IP адрес, въпреки че всъщност крайната точка взаимодейства директно с междусистемната стена XG.

Нека по някакъв начин на компютъра да е попаднало зловредно приложение. Sophos Endpoint открива тази атака или преставаме да получаваме Heartbeat от тази система. Инфектираното устройство автоматично разпространява информация за заразяването на системата, предизвиквайки автоматична последователност от действия. XG Firewall мигновено изолира компютъра, предотвратявайки разпространението на атаката и взаимодействието с C&C сървърите.

Sophos Endpoint автоматично премахва зловредния софтуер. След премахването му, крайното устройство се синхронизира с Sophos Central, след което XG Firewall възстановява достъпа до мрежата. Анализът на коренните причини (Root Cause Analysis — RCA или EDR — Endpoint Detection and Response) предоставя подробен поглед към това, какво е станало.

Ако предположим, че достъпът до корпоративните ресурси се осъществява с помощта на мобилни устройства и таблети, може ли в този случай да се осигури SynSec?

За такъв сценарий в Sophos Central е предвидена поддръжка Sophos Mobile и Sophos Wireless. Нека предположим, че потребителят се опитва да наруши политиката за сигурност на мобилното устройство, защитено с помощта на Sophos Mobile. Sophos Mobile открива нарушението на политиката за сигурност и изпраща уведомления до останалите компоненти на системата, предизвиквайки предварително зададен отговор на инцидента. Ако в Sophos Mobile е зададена политика "забрани свързването по мрежата", Sophos Wireless ще ограничи достъпа до мрежата за това устройство. На контролния панел на Sophos Central в раздела Sophos Wireless ще се покаже уведомление, че устройството е заразено. В момента, когато потребителят се опита да получи достъп до мрежата, на екрана ще се появи заставка, информираща, че достъпът до интернет е ограничен.

Крайната точка има няколко статуса на състояние Heartbeat: червен, жълт и зелен.
Червеният статус възниква в следните случаи:

• открито активно злонамерено ПО;
• открит опит за стартиране на злонамерено ПО;
• открит злонамерен мрежов трафик;
• злонамереното ПО не е било премахнато.

Жълтият статус означава, че на крайната точка е открито неактивно злонамерено ПО или е открита ПНП (потенциално нежелана програма). Зелен статус показва, че не са открити нито един от изброените проблеми.

След като разгледахме някои класически сценарии на взаимодействие на защитените устройства с Sophos Central, преминаваме към описанието на графичния интерфейс на решението и разглеждането на основните настройки и поддържаната функционалност.

Графичен интерфейс

На панела за управление се показват последните уведомления. Също така в графичен вид се показва обобщена характеристика за различните компоненти на защитата. В този случай се показват обобщени данни за защитата на персоналните компютри. На този панел също е налична обобщена информация за опити за посещение на опасни ресурси и ресурси с неприемливо съдържание, статистика за анализа на електронната поща.

Sophos Central поддържа показване на уведомления по степен на важност, което не позволява на потребителя да пропусне критични известия на системата за сигурност. Освен лаконично показваната обобщена информация за състоянието на системата за защита, Sophos Central поддържа логиране на събития и интеграция с SIEM системи. Sophos Central за много компании е платформа както за вътрешен SOC, така и за предоставяне на услуги на своите клиенти — MSSP.

Една от важните характеристики е поддръжката на кеша за актуализации за endpoint клиенти. Това позволява спестяване на пропускната способност на външния трафик, тъй като в този случай актуализациите се изтеглят един път на един от endpoint клиентите, а след това другите крайни устройства изтеглят актуализациите от него. В допълнение на описаната възможност, избраният endpoint може да ретранслира съобщения за политики за сигурност и информационни отчети в облака Sophos. Тази функция ще бъде полезна, ако има крайни устройства, които нямат пряк достъп до интернет, но изискват защита. В Sophos Central е предвидена опция (tamper protection), забраняваща промените в настройките на защитата на компютъра или изтриването на endpoint агента.

Един от компонентите на защита на крайни точки е антивирус от ново поколение (NGAV) — Intercept X. С помощта на технологии за дълбочинно машинно обучение, антивирусът може да открива непознати заплахи без използване на подписи. Точността на разпознаване е сравнима с аналоговете с подписи, но в отличие от тях осигурява проактивна защита, предотвратявайки атаки с "нула ден". Intercept X може да работи паралелно с антивируси с подписи на други доставчици.

В тази статия накратко разказахме за концепцията SynSec, която е реализирана в Sophos Central, както и за някои възможности на това решение. За това как функционира всеки от компонентите на защитата, интегрирани в Sophos Central, ще разкажем в следващите статии. Можете да получите демо-версия на решението тук..

Източник: habr.com