სინქრონიზებული დაცვა Sophos Central-ში

ინფორმაციული უსაფრთხოების ინსტრუმენტების მაღალი ეფექტურობის უზრუნველსაყოფად, მისი კომპონენტების კავშირი მნიშვნელოვან როლს ასრულებს. ის საშუალებას გაძლევთ დაფაროთ არა მხოლოდ გარე, არამედ შიდა საფრთხეებიც. ქსელური ინფრასტრუქტურის დიზაინის შექმნისას, უსაფრთხოების თითოეული ინსტრუმენტი, იქნება ეს ანტივირუსი თუ firewall, მნიშვნელოვანია ისე, რომ მათ ფუნქციონირონ არა მხოლოდ თავიანთ კლასში (Endpoint Security ან NGFW), არამედ ჰქონდეთ ერთმანეთთან ურთიერთქმედების შესაძლებლობა საფრთხეებთან ერთობლივად საბრძოლველად. .

ცოტა თეორია

გასაკვირი არ არის, რომ დღევანდელი კიბერკრიმინალები უფრო მეწარმეები გახდნენ. ისინი იყენებენ უამრავ ქსელურ ტექნოლოგიას მავნე პროგრამების გასავრცელებლად:

ელ.ფოსტის ფიშინგი იწვევს მავნე პროგრამის გადალახვას თქვენი ქსელის ზღურბლს ცნობილი შეტევების გამოყენებით, ან ნულოვანი დღის შეტევები, რასაც მოჰყვება პრივილეგიების ესკალაცია, ან გვერდითი მოძრაობა ქსელში. ერთი ინფიცირებული მოწყობილობის არსებობა შეიძლება ნიშნავს, რომ თქვენი ქსელი შეიძლება გამოყენებულ იქნას თავდამსხმელის სასარგებლოდ.

ზოგიერთ შემთხვევაში, როდესაც აუცილებელია ინფორმაციის უსაფრთხოების კომპონენტების ურთიერთქმედების უზრუნველყოფა, სისტემის ამჟამინდელი მდგომარეობის ინფორმაციული უსაფრთხოების აუდიტის ჩატარებისას, შეუძლებელია მისი აღწერა ურთიერთდაკავშირებული ზომების ერთი ნაკრების გამოყენებით. უმეტეს შემთხვევაში, მრავალი ტექნოლოგიური გადაწყვეტა, რომელიც ორიენტირებულია კონკრეტული ტიპის საფრთხის წინააღმდეგ ბრძოლაზე, არ უზრუნველყოფს სხვა ტექნოლოგიურ გადაწყვეტილებებს ინტეგრაციას. მაგალითად, საბოლოო წერტილის დაცვის პროდუქტები იყენებს ხელმოწერისა და ქცევის ანალიზს, რათა დადგინდეს, არის თუ არა ფაილი ინფიცირებული. მავნე ტრაფიკის შესაჩერებლად, Firewall იყენებს სხვა ტექნოლოგიებს, რომლებიც მოიცავს ვებ ფილტრაციას, IPS, sandboxing და ა.შ. თუმცა, უმეტეს ორგანიზაციებში ინფორმაციული უსაფრთხოების ეს კომპონენტები ერთმანეთთან არ არის დაკავშირებული და იზოლირებულად მოქმედებენ.

Heartbeat ტექნოლოგიის დანერგვის ტენდენციები

კიბერუსაფრთხოების ახალი მიდგომა მოიცავს დაცვას ყველა დონეზე, თითოეულ დონეზე გამოყენებული გადაწყვეტილებები ერთმანეთთან დაკავშირებულია და ინფორმაციის გაცვლა შეუძლია. ეს იწვევს Sunchronized Security (SynSec) შექმნას. SynSec წარმოადგენს ინფორმაციული უსაფრთხოების უზრუნველყოფის პროცესს, როგორც ერთიან სისტემას. ამ შემთხვევაში, ინფორმაციული უსაფრთხოების თითოეული კომპონენტი დაკავშირებულია ერთმანეთთან რეალურ დროში. მაგალითად, გამოსავალი სოფოს ცენტრალური ხორციელდება ამ პრინციპის მიხედვით.

Security Heartbeat ტექნოლოგია უზრუნველყოფს უსაფრთხოების კომპონენტებს შორის კომუნიკაციას, რაც უზრუნველყოფს სისტემის თანამშრომლობასა და მონიტორინგს. IN სოფოს ცენტრალური შემდეგი კლასების გადაწყვეტილებები ინტეგრირებულია:

• Endpoint დაცვა - კლასიკური ხელმოწერის ანტივირუსი;
• სერვერის დაცვა - სპეციალიზებული ანტივირუსი სერვერებისთვის;
• ჩაჭრა-X – ახალი თაობის ანტივირუსი (ხელმოწერის გარეშე და ხელოვნური ინტელექტის ტექნოლოგიებით);
• Sophos XG Firewall - შემდეგი თაობის Firewall;
• მობილობის მენეჯმენტი (EMM) — მობილური მოწყობილობის მართვა და კორპორატიულ ფოსტაზე და ფაილებზე წვდომის კონტროლი;
• მონაცემთა დაცვა (დაშიფვრა);
• უსაფრთხო WiFi — წვდომის წერტილები იმართება როგორც ღრუბლიდან, ასევე ადგილობრივად Sophos UTM / Sophos XG-ის მეშვეობით;
• ვებ უსაფრთხოება — კლასიკური გადაწყვეტა ვებ ტრაფიკის ფილტრაციისთვის;
• ელ.ფოსტის უსაფრთხოება — ღრუბელი/ლოკალური სპამის/ანტივირუსული გადაწყვეტა;
• ფიშის საფრთხე — თანამშრომლების ცნობიერების ამაღლება, სატესტო ფიშინგ-გზავნილების ჩატარება;
• Cloud Optix — ღრუბლოვანი ინფრასტრუქტურის აუდიტი.

ადვილი მისახვედრია, რომ Sophos Central მხარს უჭერს ინფორმაციული უსაფრთხოების გადაწყვეტილებების საკმაოდ ფართო სპექტრს. Sophos Central-ში SynSec კონცეფცია დაფუძნებულია სამ მნიშვნელოვან პრინციპზე: გამოვლენა, ანალიზი და რეაგირება. მათი დაწვრილებით აღსაწერად თითოეულ მათგანზე შევჩერდებით.

SynSec ცნებები

გამოვლენა (უცნობი საფრთხეების გამოვლენა)
Sophos-ის პროდუქტები, რომელსაც მართავს Sophos Central, ავტომატურად უზიარებს ერთმანეთს ინფორმაციას რისკებისა და უცნობი საფრთხეების იდენტიფიცირებისთვის, რაც მოიცავს:

• ქსელური ტრაფიკის ანალიზი მაღალი რისკის აპლიკაციებისა და მავნე ტრაფიკის იდენტიფიცირების შესაძლებლობით;
• მაღალი რისკის მომხმარებელთა გამოვლენა მათი ონლაინ მოქმედებების კორელაციური ანალიზით.

ანალიზი (მყისიერი და ინტუიციური)
რეალურ დროში ინციდენტების ანალიზი უზრუნველყოფს სისტემაში არსებული სიტუაციის მყისიერ გაგებას.

• აჩვენებს მოვლენათა სრულ ჯაჭვს, რამაც გამოიწვია ინციდენტი, მათ შორის ყველა ფაილი, რეესტრის გასაღებები, URL-ები და ა.შ.

პასუხი (ავტომატური ინციდენტის რეაგირება)
უსაფრთხოების პოლიტიკის დაყენება საშუალებას გაძლევთ ავტომატურად უპასუხოთ ინფექციებსა და ინციდენტებს რამდენიმე წამში. ეს უზრუნველყოფილია:

• ინფიცირებული მოწყობილობების მყისიერი იზოლაცია და შეტევის შეჩერება რეალურ დროში (თუნდაც იმავე ქსელის/მაუწყებლობის დომენში);
• კომპანიის ქსელის რესურსებზე წვდომის შეზღუდვა მოწყობილობებისთვის, რომლებიც არ შეესაბამება პოლიტიკას;
• დისტანციურად გაუშვით მოწყობილობის სკანირება გამავალი სპამის აღმოჩენისას.

ჩვენ განვიხილეთ უსაფრთხოების ძირითადი პრინციპები, რომლებზეც დაფუძნებულია Sophos Central. ახლა მოდით გადავიდეთ აღწერაზე, თუ როგორ ვლინდება SynSec ტექნოლოგია მოქმედებაში.

მდებარეობა თეორია პრაქტიკაში

პირველ რიგში, მოდით ავხსნათ, როგორ ურთიერთქმედებენ მოწყობილობები SynSec პრინციპის გამოყენებით Heartbeat ტექნოლოგიის გამოყენებით. პირველი ნაბიჯი არის Sophos XG-ის რეგისტრაცია Sophos Central-თან. ამ ეტაპზე ის იღებს სერთიფიკატს თვითიდენტიფიკაციისთვის, IP მისამართს და პორტს, რომლის მეშვეობითაც ბოლო მოწყობილობები ურთიერთობენ მასთან Heartbeat ტექნოლოგიის გამოყენებით, ასევე Sophos Central-ის და მათი კლიენტის სერთიფიკატების მეშვეობით მართული საბოლოო მოწყობილობების ID-ების სიას.

Sophos XG-ის რეგისტრაციის დასრულებიდან მალევე, Sophos Central გაუგზავნის ინფორმაციას საბოლოო წერტილებში Heartbeat ურთიერთქმედების დასაწყებად:

• სასერთიფიკატო ორგანოების სია, რომლებიც გამოიყენება Sophos XG სერთიფიკატების გასაცემად;
• მოწყობილობის ID-ების სია, რომლებიც რეგისტრირებულია Sophos XG-ში;
• IP მისამართი და პორტი ურთიერთქმედებისთვის Heartbeat ტექნოლოგიის გამოყენებით.

ეს ინფორმაცია კომპიუტერში ინახება შემდეგი გზით: %ProgramData%SophosHearbeatConfigHeartbeat.xml და რეგულარულად განახლდება.

Heartbeat ტექნოლოგიის გამოყენებით კომუნიკაცია ხორციელდება საბოლოო წერტილით, რომელიც აგზავნის შეტყობინებებს ჯადოსნურ IP მისამართზე 52.5.76.173:8347 და უკან. ანალიზის დროს გაირკვა, რომ პაკეტები იგზავნება 15 წამის პერიოდით, როგორც ეს გამყიდველი ამბობს. აღსანიშნავია, რომ Heartbeat შეტყობინებები მუშავდება უშუალოდ XG Firewall-ის მიერ - ის წყვეტს პაკეტებს და აკონტროლებს საბოლოო წერტილის სტატუსს. თუ თქვენ შეასრულებთ პაკეტების აღებას ჰოსტზე, ტრაფიკი გამოჩნდება გარე IP მისამართთან კავშირში, თუმცა სინამდვილეში საბოლოო წერტილი პირდაპირ კავშირშია XG firewall-თან.

დავუშვათ, რომ მავნე პროგრამა როგორღაც მოხვდა თქვენს კომპიუტერში. Sophos Endpoint აღმოაჩენს ამ შეტევას ან ჩვენ შევწყვეტთ ამ სისტემიდან Heartbeat-ის მიღებას. ინფიცირებული მოწყობილობა ავტომატურად აგზავნის ინფორმაციას ინფიცირებული სისტემის შესახებ, რაც იწვევს მოქმედებების ავტომატურ ჯაჭვს. XG Firewall მყისიერად იზოლირებს თქვენს კომპიუტერს, ხელს უშლის შეტევის გავრცელებას და C&C სერვერებთან ურთიერთქმედებას.

Sophos Endpoint ავტომატურად შლის მავნე პროგრამას. როდესაც ის ამოღებულია, ბოლო მოწყობილობა სინქრონიზდება Sophos Central-თან, შემდეგ XG Firewall აღადგენს წვდომას ქსელში. ძირეული მიზეზის ანალიზი (RCA ან EDR - საბოლოო წერტილის გამოვლენა და პასუხი) საშუალებას გაძლევთ მიიღოთ დეტალური გაგება მომხდარის შესახებ.

თუ ვივარაუდებთ, რომ კორპორატიულ რესურსებზე წვდომა ხდება მობილური მოწყობილობებისა და ტაბლეტების საშუალებით, შესაძლებელია თუ არა SynSec-ის მიწოდება?

Sophos Central მხარს უჭერს ამ სცენარს სოფოს მობილური и Sophos Wireless. ვთქვათ, მომხმარებელი ცდილობს დაარღვიოს უსაფრთხოების პოლიტიკა Sophos Mobile-ით დაცულ მობილურ მოწყობილობაზე. Sophos Mobile აღმოაჩენს უსაფრთხოების პოლიტიკის დარღვევას და აგზავნის შეტყობინებებს სისტემის დანარჩენ ნაწილზე, რაც იწვევს ინციდენტზე წინასწარ კონფიგურირებულ პასუხს. თუ Sophos Mobile-ს აქვს კონფიგურირებული „ქსელის კავშირის უარყოფის“ პოლიტიკა, Sophos Wireless შეზღუდავს ქსელის წვდომას ამ მოწყობილობისთვის. Sophos Central-ის დაფაზე გამოჩნდება შეტყობინება Sophos Wireless-ის ჩანართის ქვეშ, რომელიც მიუთითებს, რომ მოწყობილობა ინფიცირებულია. როდესაც მომხმარებელი ცდილობს ქსელში წვდომას, ეკრანზე გამოჩნდება სპრეის ეკრანი, რომელიც აცნობებს მათ, რომ ინტერნეტთან წვდომა შეზღუდულია.

ბოლო წერტილს აქვს გულისცემის რამდენიმე სტატუსი: წითელი, ყვითელი და მწვანე.
წითელი მდგომარეობა ხდება შემდეგ შემთხვევებში:

• აღმოჩენილია აქტიური მავნე პროგრამა;
• გამოვლინდა მავნე პროგრამის გაშვების მცდელობა;
• აღმოჩენილია მავნე ქსელის ტრაფიკი;
• მავნე პროგრამა არ მოიხსნა.

ყვითელი სტატუსი ნიშნავს, რომ საბოლოო წერტილმა აღმოაჩინა არააქტიური მავნე პროგრამა ან აღმოაჩინა PUP (პოტენციურად არასასურველი პროგრამა). მწვანე სტატუსი მიუთითებს იმაზე, რომ არცერთი ზემოაღნიშნული პრობლემა არ არის გამოვლენილი.

Sophos Central-თან დაცული მოწყობილობების ურთიერთქმედების რამდენიმე კლასიკური სცენარის გადახედვის შემდეგ, გადავიდეთ გადაწყვეტის გრაფიკული ინტერფეისის აღწერაზე და ძირითადი პარამეტრებისა და მხარდაჭერილი ფუნქციების მიმოხილვაზე.

გრაფიკული ინტერფეისი

მართვის პანელი აჩვენებს უახლეს შეტყობინებებს. სხვადასხვა დაცვის კომპონენტების შეჯამება ასევე ნაჩვენებია დიაგრამების სახით. ამ შემთხვევაში ნაჩვენებია შემაჯამებელი მონაცემები პერსონალური კომპიუტერების დაცვის შესახებ. ეს პანელი ასევე შეიცავს შემაჯამებელ ინფორმაციას სახიფათო რესურსებისა და რესურსების არასათანადო შინაარსის მონახულების მცდელობების შესახებ და ელექტრონული ფოსტის ანალიზის სტატისტიკას.

Sophos Central მხარს უჭერს შეტყობინებების ჩვენებას სიმძიმის მიხედვით, რაც მომხმარებელს უშლის ხელს უსაფრთხოების კრიტიკული სიგნალების გამოტოვებისგან. უსაფრთხოების სისტემის სტატუსის მოკლედ ნაჩვენები შეჯამების გარდა, Sophos Central მხარს უჭერს მოვლენების აღრიცხვას და ინტეგრაციას SIEM სისტემებთან. მრავალი კომპანიისთვის Sophos Central არის პლატფორმა როგორც შიდა SOC-ისთვის, ასევე მათი მომხმარებლებისთვის სერვისების მიწოდებისთვის - MSSP.

ერთ-ერთი მნიშვნელოვანი მახასიათებელია ბოლო წერტილის კლიენტებისთვის განახლების ქეშის მხარდაჭერა. ეს საშუალებას გაძლევთ დაზოგოთ გამტარობა გარე ტრაფიკზე, რადგან ამ შემთხვევაში განახლებები ერთხელ ჩამოიტვირთება საბოლოო წერტილის ერთ-ერთ კლიენტში, შემდეგ კი სხვა ბოლო წერტილები ჩამოტვირთავს განახლებებს მისგან. აღწერილი ფუნქციის გარდა, არჩეულ ბოლო წერტილს შეუძლია უსაფრთხოების პოლიტიკის შეტყობინებები და საინფორმაციო ანგარიშები გადასცეს Sophos ღრუბელში. ეს ფუნქცია სასარგებლო იქნება, თუ არის ბოლო მოწყობილობები, რომლებსაც არ აქვთ პირდაპირი წვდომა ინტერნეტზე, მაგრამ საჭიროებენ დაცვას. Sophos Central გთავაზობთ ოფციას (დარღვევისგან დაცვა), რომელიც კრძალავს კომპიუტერის უსაფრთხოების პარამეტრების შეცვლას ან საბოლოო წერტილის აგენტის წაშლას.

საბოლოო წერტილის დაცვის ერთ-ერთი კომპონენტია ახალი თაობის ანტივირუსი (NGAV) - ჩაჭრა X. ღრმა მანქანათმცოდნეობის ტექნოლოგიების გამოყენებით, ანტივირუსს შეუძლია ადრე უცნობი საფრთხეების იდენტიფიცირება ხელმოწერების გამოყენების გარეშე. გამოვლენის სიზუსტე შედარებულია ხელმოწერის ანალოგებთან, მაგრამ მათგან განსხვავებით, ის უზრუნველყოფს პროაქტიულ დაცვას, თავიდან აიცილებს ნულოვანი დღის შეტევებს. Intercept X-ს შეუძლია იმუშაოს სხვა მომწოდებლების ხელმოწერის ანტივირუსებთან პარალელურად.

ამ სტატიაში მოკლედ ვისაუბრეთ SynSec კონცეფციაზე, რომელიც დანერგილია Sophos Central-ში, ასევე ამ გადაწყვეტის ზოგიერთ შესაძლებლობებზე. ჩვენ აღვწერთ, თუ როგორ ფუნქციონირებს Sophos Central-ში ინტეგრირებული უსაფრთხოების თითოეული კომპონენტი შემდეგ სტატიებში. შეგიძლიათ მიიღოთ გადაწყვეტის დემო ვერსია აქ.

წყარო: www.habr.com