FĂŒr die GewĂ€hrleistung der hohen EffektivitĂ€t von Informationssicherheit spielt die Verbindung ihrer Komponenten eine groĂe Rolle. Sie ermöglicht es, nicht nur externe, sondern auch interne Bedrohungen zu ĂŒberwinden. Bei der Planung der Netzwerkstruktur hat jedes Schutzmittel, sei es ein Antivirus oder eine Firewall, eine wichtige Bedeutung, damit sie nicht nur innerhalb ihrer Klasse (Endpoint-Sicherheit oder NGFW) funktionieren, sondern auch die Möglichkeit haben, miteinander zu interagieren, um gemeinsam Bedrohungen zu bekĂ€mpfen.
Ein wenig Theorie
Es ist nicht ĂŒberraschend, dass die heutigen Cyberkriminellen unternehmungslustiger geworden sind. FĂŒr die Verbreitung von Malware nutzen sie eine Reihe von Netzwerktechnologien:
Phishing-E-Mails fĂŒhren dazu, dass die Malware "die Schwelle" Ihres Netzwerks ĂŒberschreitet, indem sie bekannte Angriffe oder "Zero-Day-Angriffe" mit anschlieĂender Erhöhung der Berechtigungen oder seitlichem Vorankommen (lateral movement) im Netzwerk verwendet. Das Vorhandensein eines infizierten GerĂ€ts kann bedeuten, dass Ihr Netzwerk fĂŒr die eigennĂŒtzigen Zwecke des Angreifers genutzt wird.
In einigen FĂ€llen, wenn es erforderlich ist, die Interaktion von Sicherheitskomponenten zu gewĂ€hrleisten, ist es bei der DurchfĂŒhrung einer SicherheitsĂŒberprĂŒfung des aktuellen Systemzustands nicht möglich, dieses durch ein einheitliches MaĂnahmekonzept zu beschreiben, das miteinander verbunden ist. In den meisten FĂ€llen berĂŒcksichtigen viele technologische Lösungen, die sich auf die BekĂ€mpfung bestimmter Bedrohungstypen konzentrieren, keine Integration mit anderen technologischen Lösungen. Beispielsweise verwenden Produkte zum Schutz von Endpunkten signatur- und verhaltensanalytische AnsĂ€tze, um festzustellen, ob eine Datei infiziert ist oder nicht. Um schĂ€dlichen Datenverkehr zu stoppen, nutzen Firewalls andere Technologien, darunter Webfilterung, IPS, Sandbox usw. Dennoch sind in den meisten Organisationen diese Komponenten der Informationssicherheit nicht miteinander verbunden und arbeiten isoliert.
Trends in der Implementierung der Heartbeat-Technologie
Ein neuer Ansatz zur GewĂ€hrleistung der Cybersicherheit beinhaltet den Schutz auf jeder Ebene, wobei die auf jeder Ebene eingesetzten Lösungen miteinander verbunden sind und Informationen austauschen können. Dies fĂŒhrt zur Schaffung eines Systems namens Synchronized Security (SynSec). SynSec versteht sich als Prozess zur GewĂ€hrleistung der Informationssicherheit als einheitliches System. In diesem Fall ist jede Komponente der Informationssicherheit in Echtzeit miteinander verbunden. Zum Beispiel ist die Lösung nach diesem Prinzip umgesetzt.
Die Technologie Security Heartbeat gewĂ€hrleistet die Verbindung zwischen Sicherheitskomponenten, was das gemeinsame Funktionieren des Systems und seine Ăberwachung sichert. In sind Lösungen der folgenden Klassen integriert:
- â klassisches signaturbasiertes Antivirenprogramm;
- â spezialisiertes Antivirenprogramm fĂŒr Server;
- â Antivirenprogramm der nĂ€chsten Generation (ohne Signaturen und mit Technologien der kĂŒnstlichen Intelligenz);
- â Next Generation Firewall;
- â Verwaltung mobiler GerĂ€te und Zugangskontrolle zu Unternehmens-E-Mails und -Dateien;
- ;
- â Zugriffspunkte, die sowohl ĂŒber die Cloud als auch lokal ĂŒber Sophos UTM/Sophos XG verwaltet werden;
- â klassische Lösung zur Filterung von Web-Traffic;
- â cloudbasierte/lokale Anti-Spam-/Antivirus-Lösung;
- â Erhöhung des Bewusstseins der Mitarbeiter, DurchfĂŒhrung von Testphishing-Kampagnen;
- â Audit von Cloud-Infrastrukturen.
Es ist deutlich zu erkennen, dass Sophos Central ein recht breites Spektrum an Lösungen im Bereich der Informationssicherheit unterstĂŒtzt. Im Sophos Central basiert das Konzept SynSec auf drei wichtigen Prinzipien: Erkennung, Analyse und Reaktion. Um diese im Detail zu beschreiben, werden wir auf jedes einzelne eingehen.
Das Konzept SynSec
ERKENNUNG (Aufdeckung unbekannter Bedrohungen)
Die von Sophos unter der Verwaltung von Sophos Central angebotenen Produkte teilen automatisch Informationen untereinander, um Risiken und unbekannte Bedrohungen zu identifizieren, was Folgendes umfasst:
- die Analyse des Netzwerkverkehrs mit der Möglichkeit, Anwendungen mit hohem Risiko und schÀdlichen Traffic zu identifizieren;
- die Erkennung von Benutzern mit hohem Risiko durch korrelierende Analyse ihres Verhaltens im Internet.
ANALYSE (sofort und intuitiv)
Die Analyse von VorfÀllen in Echtzeit ermöglicht ein sofortiges VerstÀndnis der aktuellen Situation im System.
- Darstellung der vollstĂ€ndigen Ereigniskette, die zu dem Vorfall gefĂŒhrt hat, einschlieĂlich aller Dateien, Registrierungskeys, URLs usw.
REAGIEREN (automatisches Reagieren auf VorfÀlle)
Die Einrichtung von Sicherheitsrichtlinien ermöglicht es, automatisch innerhalb weniger Sekunden auf Infektionen und VorfÀlle zu reagieren. Dies wird sichergestellt durch:
- sofortige Isolierung infizierter GerÀte und Stoppen des Angriffs in Echtzeit (sogar innerhalb eines Netzwerks / Broadcast-Domain);
- EinschrĂ€nkung des Zugriffs auf Unternehmensressourcen fĂŒr GerĂ€te, die nicht den Richtlinien entsprechen;
- Fernaktivierung des Scannens von GerÀten bei Erkennung ausgehenden Spam.
Wir haben die grundlegenden Prinzipien des Schutzes untersucht, auf denen Sophos Central basiert. Jetzt werden wir beschreiben, wie sich die SynSec-Technologie in der Praxis zeigt.
Von der Theorie zur Praxis
ZunĂ€chst erklĂ€ren wir, wie die Interaktion zwischen GerĂ€ten nach dem Prinzip SynSec mithilfe der Heartbeat-Technologie eingerichtet wird. Der erste Schritt besteht darin, Sophos XG in Sophos Central zu registrieren. In diesem Schritt erhĂ€lt es ein Zertifikat zur Selbstidentifizierung, eine IP-Adresse und einen Port, ĂŒber den die EndgerĂ€te mit ihm ĂŒber die Heartbeat-Technologie interagieren werden, sowie eine Liste von ID der EndgerĂ€te, die ĂŒber Sophos Central verwaltet werden, und deren Client-Zertifikate.
Kurz nach der Registrierung von Sophos XG wird Sophos Central die EndgerĂ€te mit Informationen versorgen, um die Interaktion ĂŒber die Heartbeat-Technologie zu initiieren:
- eine Liste der Zertifizierungsstellen, die zur Ausstellung von Zertifikaten fĂŒr Sophos XG verwendet werden;
- eine Liste der ID von GerÀten, die in Sophos XG registriert sind;
- IP-Adresse und Port fĂŒr die Interaktion ĂŒber die Heartbeat-Technologie.
Diese Informationen werden auf dem Computer unter folgendem Pfad gespeichert: %ProgramData%SophosHearbeatConfigHeartbeat.xml und regelmĂ€Ăig aktualisiert.
Die Kommunikation ĂŒber die Heartbeat-Technologie erfolgt durch das Senden von Nachrichten von einem Endpunkt an die magische IP-Adresse 52.5.76.173:8347 und zurĂŒck. Bei der Analyse wurde festgestellt, dass die Pakete alle 15 Sekunden gesendet werden, wie vom Anbieter angegeben. Es ist erwĂ€hnenswert, dass die Heartbeat-Nachrichten direkt von der XG Firewall verarbeitet werden â sie fĂ€ngt die Pakete ab und ĂŒberwacht den Status des Endpunkts. Wenn man eine Paketerfassung auf dem Host durchfĂŒhrt, wird die Verkehrsanalyse wie eine Kommunikation mit einer externen IP-Adresse erscheinen, obwohl der Endpunkt tatsĂ€chlich direkt mit der XG Firewall kommuniziert.
Angenommen, ein schĂ€dliches Programm hat es auf den Computer geschafft. Sophos Endpoint erkennt diesen Angriff oder wir hören auf, Heartbeat von diesem System zu erhalten. Das infizierte GerĂ€t sendet automatisch Informationen ĂŒber die Systeminfektion, was eine automatische Reaktionskette auslöst. Die XG Firewall isoliert sofort den Computer und verhindert die Ausbreitung des Angriffs sowie die Interaktion mit C&C-Servern.
Sophos Endpoint entfernt automatisch die Malware. Nach der Entfernung synchronisiert sich das EndgerĂ€t mit Sophos Central, dann stellt die XG Firewall den Netzwerkzugang wieder her. Die Ursachenanalyse (Root Cause Analysis â RCA oder EDR â Endpoint Detection and Response) ermöglicht eine detaillierte Darstellung dessen, was passiert ist.
Wenn davon ausgegangen wird, dass der Zugriff auf Unternehmensressourcen ĂŒber mobile GerĂ€te und Tablets erfolgt, ist es dann möglich, SynSec in diesem Fall zu gewĂ€hrleisten?
FĂŒr dieses Szenario bietet Sophos Central UnterstĂŒtzung und . Angenommen, der Benutzer versucht, die Sicherheitsrichtlinie auf einem mobilen GerĂ€t zu verletzen, das durch Sophos Mobile geschĂŒtzt ist. Sophos Mobile erkennt die Verletzung der Sicherheitsrichtlinie und sendet Benachrichtigungen an die anderen Systemkomponenten, wodurch eine vorgeplante Reaktion auf den Vorfall ausgelöst wird. Wenn in Sophos Mobile die Richtlinie âNetzwerkverbindung verbietenâ festgelegt ist, wird Sophos Wireless den Netzwerkzugang fĂŒr dieses GerĂ€t einschrĂ€nken. Auf dem Dashboard von Sophos Central wird auf dem Tab Sophos Wireless eine Benachrichtigung angezeigt, dass das GerĂ€t infiziert ist. Wenn der Benutzer versucht, auf das Netzwerk zuzugreifen, erscheint ein Bildschirmhinweis, der besagt, dass der Internetzugang eingeschrĂ€nkt ist.
Der Endpunkt hat mehrere Status des Heartbeat: rot, gelb und grĂŒn.
Der rote Status tritt in den folgenden FĂ€llen auf:
- Aktive Malware wurde entdeckt;
- Ein Versuch zum Starten von Malware wurde festgestellt;
- Schadhafter Netzwerkverkehr wurde erkannt;
- Malware wurde nicht entfernt.
Der gelbe Status bedeutet, dass auf dem Endpunkt inaktive Malware oder potenziell unerwĂŒnschte Programme (PUPs) erkannt wurden. Der grĂŒne Status zeigt an, dass keine der oben genannten Probleme festgestellt wurden.
Nachdem wir einige klassische Interaktionsszenarien geschĂŒtzter GerĂ€te mit Sophos Central betrachtet haben, wenden wir uns der Beschreibung der grafischen BenutzeroberflĂ€che der Lösung und den wichtigsten Einstellungen sowie der unterstĂŒtzten FunktionalitĂ€t zu.
BenutzeroberflÀche
Auf dem Dashboard werden die letzten Benachrichtigungen angezeigt. AuĂerdem wird eine Zusammenfassung der verschiedenen Schutzkomponenten in Form von Diagrammen angezeigt. In diesem Fall werden Zusammenfassungsdaten zum Schutz von Personalcomputern angezeigt. Auf diesem Panel sind auch die zusammenfassenden Informationen zu den Versuchen, gefĂ€hrliche Ressourcen und Ressourcen mit unangemessenem Inhalt zu besuchen, sowie die Statistik zur E-Mail-Analyse verfĂŒgbar.
Sophos Central unterstĂŒtzt die Anzeige von Benachrichtigungen nach Dringlichkeit, sodass der Benutzer kritische Sicherheitswarnungen nicht verpasst. Neben den knapp dargestellten Zusammenfassungen des Sicherheitsstatus unterstĂŒtzt Sophos Central auch die Protokollierung von Ereignissen und die Integration mit SIEM-Systemen. FĂŒr viele Unternehmen ist Sophos Central eine Plattform sowohl fĂŒr ein internes SOC als auch fĂŒr die Bereitstellung von Dienstleistungen fĂŒr ihre Kunden â MSSP.
Eine der wichtigen Eigenschaften ist die UnterstĂŒtzung des Update-Caches fĂŒr Endpoint-Clients. Dies ermöglicht eine Einsparung der externen Bandbreite, da in diesem Fall Updates einmal auf einen der Endpoint-Clients heruntergeladen werden, wĂ€hrend andere EndgerĂ€te die Updates von diesem herunterladen. DarĂŒber hinaus kann der ausgewĂ€hlte Endpoint Sicherheitsrichtlinien und Informationsberichte in die Sophos-Cloud weiterleiten. Diese Funktion ist nĂŒtzlich, wenn EndgerĂ€te vorhanden sind, die keinen direkten Internetzugang haben, aber dennoch Schutz benötigen. In Sophos Central gibt es die Option (tamper protection), die es verbietet, die Schutzkonfiguration des Computers zu Ă€ndern oder den Endpoint-Agenten zu entfernen.
Ein Bestandteil des Endpoint-Schutzes ist der Next-Gen-Anti-Virus (NGAV) â . Mit Hilfe von Technologien des tiefen maschinellen Lernens ist der Antivirus in der Lage, zuvor unbekannte Bedrohungen ohne den Einsatz von Signaturen zu erkennen. Die Erkennungsgenauigkeit ist mit der von signaturbasierten Lösungen vergleichbar, bietet jedoch prĂ€ventiven Schutz, indem sie Nulltage-Angriffe verhindert. Intercept X kann parallel zu den signaturbasierten Antivirenlösungen anderer Anbieter arbeiten.
In diesem Artikel haben wir kurz das Konzept von SynSec vorgestellt, das in Sophos Central umgesetzt wurde, sowie einige Möglichkeiten dieser Lösung aufgezeigt. Wie jedes der Schutzkomponenten, die in Sophos Central integriert sind, funktioniert, werden wir in den folgenden Artikeln erlÀutern. Sie können eine Demoversion der Lösung erhalten .
Quelle: habr.com
