Synchronisierte Sicherheit in Sophos Central

Für die hohe Effizienz von Informationssicherheitsmaßnahmen spielt die Verbindung ihrer Komponenten eine entscheidende Rolle. Sie ermöglicht es, nicht nur externe, sondern auch interne Bedrohungen zu bekämpfen. Bei der Planung der Netzwerk-Infrastruktur ist jede Schutzmaßnahme, sei es Antiviren-Software oder eine Firewall, von großer Bedeutung, damit sie nicht nur innerhalb ihres Klassenrahmens (Endpoint-Sicherheit oder NGFW) funktioniert, sondern auch in der Lage ist, miteinander zu interagieren, um Bedrohungen gemeinsam zu bekämpfen.

Ein wenig Theorie

Es ist nicht überraschend, dass heutige Cyberkriminelle wesentlich erfinderischer geworden sind. Um Malware zu verbreiten, setzen sie eine Vielzahl von Netzwerktechnologien ein:

Phishing-E-Mails führen dazu, dass Malware die "Schwelle" Ihres Netzwerks überschreitet, indem sie bekannte Angriffe oder "Zero-Day-Attacken" mit anschließender Privilegienerhöhung oder laterale Bewegungen im Netzwerk nutzt. Ein einzelnes infiziertes Gerät kann bedeuten, dass Ihr Netzwerk für die eigennützigen Zwecke des Angreifers genutzt wird.

In einigen Fällen, in denen eine Interaktion der Sicherheitskomponenten erforderlich ist, kann der aktuelle Stand der Informationssicherheitssysteme während eines Audits nicht durch ein zusammenhängendes Maßnahmenpaket beschrieben werden. Häufig decken viele technologische Lösungen, die sich auf die Abwehr bestimmter Bedrohungsarten konzentrieren, keine Integration mit anderen technologischen Lösungen vor. Zum Beispiel verwenden Produkte zum Schutz von Endgeräten Signatur- und Verhaltensanalysen, um festzustellen, ob eine Datei infiziert ist oder nicht. Firewalls nutzen zur Blockierung von schädlichem Datenverkehr andere Technologien, darunter Webfilterung, IPS, Sandboxes usw. Dennoch sind diese Sicherheitskomponenten in den meisten Organisationen nicht miteinander verbunden und arbeiten isoliert.

Trends bei der Implementierung der Heartbeat-Technologie

Ein neuer Ansatz zur Gewährleistung der Cybersicherheit bedeutet den Schutz auf jeder Ebene, wobei die Lösungen, die auf jeder Ebene eingesetzt werden, miteinander verbunden sind und die Möglichkeit zum Austausch von Informationen haben. Dies führt zur Schaffung des Systems Synchronized Security (SynSec). SynSec ist ein Prozess, der die Informationssicherheit als eine einheitliche Systematik gewährleistet. In diesem Fall ist jede Komponente der Informationssicherheit in Echtzeit miteinander verbunden. Zum Beispiel ist die Lösung Sophos Central auf diesem Prinzip implementiert.

Die Technologie Security Heartbeat gewährleistet die Verbindung zwischen den Sicherheitskomponenten, wodurch das gemeinsame Funktionieren des Systems und seine Überwachung sichergestellt werden. In Sophos Central sind Lösungen der folgenden Klassen integriert:

• Endpoint Protection – klassischer Signatur-Antivirus;
• Server Protection – spezialisierter Antivirus für Server;
• Intercept-X – Next-Generation-Antivirus (ohne Signaturen und mit Künstlicher Intelligenz-Technologien);
• Sophos XG Firewall – Next-Generation Firewall;
• Mobility Management (EMM) – Verwaltung mobiler Geräte und Zugriffskontrolle auf Unternehmens-E-Mails und -Dateien;
• Data Protection (Encryption);
• Secure Wi-Fi — Zugriffspunkte, die sowohl in der Cloud als auch lokal über Sophos UTM / Sophos XG verwaltet werden;
• Web-Sicherheit — klassische Lösung zur Filterung von Web-Traffic;
• E-Mail-Sicherheit — cloudbasierte / lokale Anti-Spam / Antivirenlösung;
• Phishing-Bedrohung — Sensibilisierung der Mitarbeiter durch Durchführung von Test-Phishing-Kampagnen;
• Cloud Optix — Audit von Cloud-Infrastrukturen.

Es ist leicht zu erkennen, dass Sophos Central eine breite Palette von Lösungen im Bereich der Informationssicherheit unterstützt. Bei Sophos Central basiert das Konzept von SynSec auf drei wichtigen Prinzipien: Erkennung, Analyse und Reaktion. Um diese im Detail zu beschreiben, schauen wir uns jedes einzelne an.

SynSec-Konzepte

ERKENNUNG (Entdeckung unbekannter Bedrohungen)
Die von Sophos verwalteten Produkte teilen automatisch Informationen untereinander, um Risiken und unbekannte Bedrohungen zu erkennen, einschließlich:

• Analyse des Netzwerkverkehrs mit der Möglichkeit, hochriskante Anwendungen und schädlichen Traffic zu identifizieren;
• Erkennung von Benutzern mit hoher Risikogruppe durch korrelierende Analyse ihres Verhaltens im Netz.

ANALYSE (sofort und intuitiv)
Echtzeitanalyse von Vorfällen ermöglicht ein sofortiges Verständnis der aktuellen Situation im System.

• Darstellung der vollständigen Ereigniskette, die zu dem Vorfall geführt hat, einschließlich aller Dateien, Registry-Schlüssel, URLs usw.

REAKTION (automatisierte Reaktion auf Vorfälle)
Die Konfiguration von Sicherheitsrichtlinien ermöglicht es, automatisch in Sekundenschnelle auf Infektionen und Vorfälle zu reagieren. Dies wird erreicht durch:

• sofortige Isolation infizierter Geräte und Stopp des Angriffs in Echtzeit (auch innerhalb eines Netzwerks / Broadcast-Domäne);
• Einschränkung des Zugriffs auf Unternehmensnetzwerkressourcen für Geräte, die nicht den Richtlinien entsprechen;
• Fernstart einer Gerätesuche bei Entdeckung von ausgehendem Spam.

Wir haben die grundlegenden Schutzprinzipien behandelt, auf denen Sophos Central basiert. Jetzt wenden wir uns der Beschreibung zu, wie die SynSec-Technologie in der Praxis funktioniert.

Von der Theorie zur Praxis

Zunächst erklären wir, wie die Interaktion von Geräten nach dem SynSec-Prinzip mit der Heartbeat-Technologie eingerichtet wird. Der erste Schritt besteht darin, die Sophos XG in Sophos Central zu registrieren. In diesem Schritt erhält sie ein Zertifikat zur Selbstidentifizierung, eine IP-Adresse und einen Port, über den die Endgeräte mit der Heartbeat-Technologie kommunizieren, sowie eine Liste der IDs der Endgeräte, die über Sophos Central verwaltet werden, und deren Client-Zertifikate.

Kurz nach der Registrierung der Sophos XG wird Sophos Central den Endgeräten Informationen übermitteln, um die Interaktion mit der Heartbeat-Technologie zu initiieren:

• eine Liste der Zertifizierungsstellen, die zur Ausgabe der Zertifikate für die Sophos XG verwendet werden;
• eine Liste der ID-IDs der Geräte, die bei der Sophos XG registriert sind;
• IP-Adresse und Port für die Interaktion über die Heartbeat-Technologie.

Diese Informationen werden auf dem Computer unter folgendem Pfad gespeichert: %ProgramData%SophosHearbeatConfigHeartbeat.xml und regelmäßig aktualisiert.

Die Kommunikation über die Heartbeat-Technologie erfolgt durch die Übermittlung von Nachrichten von der Endpoint an die magische IP-Adresse 52.5.76.173:8347 und zurück. Bei der Analyse wurde festgestellt, dass die Pakete in einem Intervall von 15 Sekunden gesendet werden, wie vom Anbieter angegeben. Es ist zu beachten, dass die Heartbeat-Nachrichten direkt vom XG Firewall verarbeitet werden — es fängt die Pakete ab und überwacht den Status des Endpunkts. Wenn Sie die Pakete auf dem Host erfassen, wird der Datenverkehr wie die Kommunikation mit einer externen IP-Adresse aussehen, obwohl der Endpunkt tatsächlich direkt mit der XG-Firewall interagiert.

Stellen Sie sich vor, ein schädliches Programm hat somehow den Computer infiltriert. Sophos Endpoint erkennt diesen Angriff oder wir hören auf, Heartbeat von diesem System zu empfangen. Das infizierte Gerät sendet automatisch Informationen über die Systeminfektion und löst eine automatische Kette von Aktionen aus. Der XG Firewall isoliert sofort den Computer, um die Ausbreitung des Angriffs und die Interaktion mit C&C-Servern zu verhindern.

Sophos Endpoint entfernt automatisch Malware. Nach der Entfernung synchronisiert sich das Endgerät mit Sophos Central, und dann stellt die XG Firewall den Netzwerkzugang wieder her. Die Ursachenanalyse (Root Cause Analysis – RCA oder EDR – Endpoint Detection and Response) ermöglicht eine detaillierte Einsicht in die Ereignisse.

Wenn der Zugang zu Unternehmensressourcen über mobile Geräte und Tablets erfolgt, ist es dann möglich, SynSec zu gewährleisten?

Für solch ein Szenario bietet Sophos Central Unterstützung. Sophos Mobile und Sophos Wireless. Angenommen, ein Benutzer versucht, die Sicherheitsrichtlinien auf einem mobil geschützten Gerät mit Sophos Mobile zu verletzen. Sophos Mobile erkennt den Verstoß gegen die Sicherheitsrichtlinien und sendet Benachrichtigungen an die anderen Systemkomponenten, was eine vorher festgelegte Reaktion auf den Vorfall auslöst. Ist in Sophos Mobile die Richtlinie „Netzwerkverbindung verbieten“ konfiguriert, so wird Sophos Wireless den Netzwerkzugang für dieses Gerät einschränken. Im Dashboard von Sophos Central wird im Tab Sophos Wireless eine Benachrichtigung angezeigt, die darauf hinweist, dass das Gerät infiziert ist. Während der Benutzer versucht, auf das Netzwerk zuzugreifen, wird ein Bildschirm angezeigt, der besagt, dass der Internetzugang eingeschränkt ist.

Der Endpunkt hat mehrere Heartbeat-Status: rot, gelb und grün.
Der rote Status tritt in folgenden Fällen auf:

• aktives Malware wurde entdeckt;
• Ein Versuch zum Starten von Malware wurde festgestellt;
• Malware-Internetverkehr wurde entdeckt;
• Malware wurde nicht entfernt.

Der gelbe Status zeigt an, dass auf dem Endpunkt inaktive Malware oder potenziell unerwünschte Programme (PUP) entdeckt wurden. Ein grüner Status bedeutet, dass keine der oben genannten Probleme festgestellt wurde.

Nachdem wir einige klassische Szenarien der Interaktion geschützter Geräte mit Sophos Central betrachtet haben, gehen wir zur Beschreibung der grafischen Benutzeroberfläche der Lösung über und betrachten die grundlegenden Einstellungen sowie die unterstützten Funktionen.

Grafische Benutzeroberfläche

Im Dashboard werden die neuesten Benachrichtigungen angezeigt. Außerdem wird eine Übersicht über die verschiedenen Schutzkomponenten in Form von Diagrammen angezeigt. In diesem Fall werden die Zusammenfassungsdaten zum Schutz von Desktop-Computern angezeigt. Auf diesem Dashboard sind auch zusammenfassende Informationen über Versuche, auf gefährliche Ressourcen und Inhalte mit unzulässigem Inhalt zuzugreifen, sowie Statistiken zur Analyse von E-Mails verfügbar.

Sophos Central ermöglicht die Anzeige von Benachrichtigungen nach Wichtigkeit, sodass Benutzer kritische Sicherheitswarnungen nicht übersehen. Neben der prägnanten Zusammenfassung des Sicherheitsstatus bietet Sophos Central auch Ereignisprotokollierung und Integration mit SIEM-Systemen. Für viele Unternehmen dient Sophos Central sowohl als Plattform für das interne SOC als auch zur Bereitstellung von Dienstleistungen für ihre Kunden — MSSP.

Eine der wichtigen Funktionen ist die Unterstützung von Update-Caching für Endpunkt-Clients. Dadurch wird die Bandbreite des externen Traffics eingespart, da Updates in diesem Fall einmal auf einen der Endpunkt-Clients heruntergeladen werden und anschließend von anderen Endgeräten von dort abgerufen werden. Darüber hinaus kann der ausgewählte Endpunkt Sicherheitsrichtlinien und Informationsberichte in die Sophos-Cloud weiterleiten. Diese Funktion ist besonders nützlich, wenn Endgeräte keinen direkten Internetzugang haben, aber dennoch geschützt werden müssen. In Sophos Central gibt es eine Option (Tamper Protection), die es verbietet, die Sicherheitseinstellungen des Computers zu ändern oder den Endpunkt-Agenten zu entfernen.

Eine der Komponenten des Endpunktschutzes ist die nächste Generation von Antivirus (NGAV) — Intercept X. Mit Hilfe von Technologien des tiefen maschinellen Lernens kann die Antivirensoftware zuvor unbekannte Bedrohungen ohne den Einsatz von Signaturen erkennen. Die Erkennungsgenauigkeit ist mit der von signaturbasierten Lösungen vergleichbar, bietet jedoch proaktive Sicherheit, um Angriffe durch »Zero-Day«-Bedrohungen zu verhindern. Intercept X kann parallel zu signaturbasierten Antivirenlösungen anderer Anbieter arbeiten.

In diesem Artikel haben wir kurz das Konzept von SynSec vorgestellt, das in Sophos Central implementiert ist, sowie einige Funktionen dieser Lösung beschrieben. Wie jeder der Schutzkomponenten, die in Sophos Central integriert sind, funktioniert, werden wir in den nächsten Artikeln näher erläutern. Eine Demoversion der Lösung können Sie hier.

Quelle: habr.com