Sophos Central의 동기화된 보안

정보 보안 도구의 높은 효율성을 보장하기 위해서는 해당 구성 요소의 연결이 중요한 역할을 합니다. 이를 통해 외부 위협뿐만 아니라 내부 위협도 처리할 수 있습니다. 네트워크 인프라를 설계할 때 바이러스 백신이든 방화벽이든 각 보안 도구는 해당 클래스(엔드포인트 보안 또는 NGFW) 내에서 작동할 뿐만 아니라 서로 상호 작용하여 위협에 공동으로 대처할 수 있는 기능을 갖추는 것이 중요합니다. .

약간의 이론

오늘날의 사이버 범죄자들이 더욱 기업가적인 성향을 띠고 있다는 것은 놀라운 일이 아닙니다. 이들은 다양한 네트워크 기술을 사용하여 악성 코드를 확산시킵니다.

이메일 피싱은 알려진 공격(제로데이 공격에 이어 권한 상승 또는 네트워크를 통한 측면 이동)을 사용하여 맬웨어가 네트워크 임계값을 넘도록 만듭니다. 하나의 장치가 감염되면 네트워크가 공격자의 이익을 위해 사용될 수 있다는 의미입니다.

정보 보안 구성 요소의 상호 작용을 보장해야 하는 경우, 시스템의 현재 상태에 대한 정보 보안 감사를 수행할 때 상호 연결된 단일 조치 세트를 사용하여 이를 설명하는 것이 불가능한 경우도 있습니다. 대부분의 경우 특정 유형의 위협에 대응하는 데 초점을 맞춘 많은 기술 솔루션은 다른 기술 솔루션과의 통합을 제공하지 않습니다. 예를 들어 엔드포인트 보호 제품은 서명 및 행동 분석을 사용하여 파일이 감염되었는지 여부를 확인합니다. 악성 트래픽을 차단하기 위해 방화벽은 웹 필터링, IPS, 샌드박싱 등을 포함한 다른 기술을 사용합니다. 그러나 대부분의 조직에서는 이러한 정보 보안 구성 요소가 서로 연결되지 않고 독립적으로 작동합니다.

Heartbeat 기술 구현 동향

사이버 보안에 대한 새로운 접근 방식에는 모든 수준의 보호가 포함되며, 각 수준에서 사용되는 솔루션은 서로 연결되어 정보를 교환할 수 있습니다. 이로 인해 SynSec(Sunchronized Security)가 생성됩니다. SynSec은 정보 보안을 단일 시스템으로 보장하는 프로세스를 나타냅니다. 이 경우 각 정보보안 구성요소는 실시간으로 서로 연결된다. 예를 들어, 솔루션 소포스 센트럴 이 원칙에 따라 구현됩니다.

Security Heartbeat 기술은 보안 구성 요소 간의 통신을 가능하게 하여 시스템 협업 및 모니터링을 가능하게 합니다. 안에 소포스 센트럴 다음 클래스의 솔루션이 통합되었습니다.

• 엔드 포인트 보호 — 클래식 시그니처 바이러스 백신;
• 서버 보호 — 서버용 전문 바이러스 백신;
• 인터셉트-X – 차세대 바이러스 백신(서명 없음 및 인공 지능 기술 포함)
• 소포스 XG 방화벽 — 차세대 방화벽;
• 모빌리티 관리(EMM) — 기업 메일 및 파일에 대한 모바일 장치 관리 및 액세스 제어
• 데이터 보호(암호화);
• 보안 Wi-Fi — Sophos UTM / Sophos XG를 통해 클라우드와 로컬에서 모두 관리되는 액세스 포인트;
• 웹 보안 — 웹 트래픽 필터링을 위한 고전적인 솔루션입니다.
• 이메일 보안 — 클라우드/로컬 스팸 방지/바이러스 백신 솔루션;
• 피싱 위협 — 직원의 인식을 제고하고 테스트 피싱 메일링을 실시합니다.
• 클라우드 옵틱스 — 클라우드 인프라 감사.

Sophos Central이 상당히 광범위한 정보 보안 솔루션을 지원한다는 것을 쉽게 알 수 있습니다. Sophos Central의 SynSec 개념은 탐지, 분석, 대응이라는 세 가지 중요한 원칙을 기반으로 합니다. 자세히 설명하기 위해 각각에 대해 설명하겠습니다.

SynSec 개념

발각 (알 수 없는 위협 탐지)
Sophos Central에서 관리하는 Sophos 제품은 서로 자동으로 정보를 공유하여 위험과 알려지지 않은 위협을 식별합니다. 여기에는 다음이 포함됩니다.

• 고위험 애플리케이션과 악성 트래픽을 식별하는 기능을 갖춘 네트워크 트래픽 분석
• 사용자의 온라인 활동 상관관계 분석을 통해 고위험 사용자를 탐지합니다.

분석 (즉각적이고 직관적)
실시간 사고 분석을 통해 시스템의 현재 상황을 즉각적으로 이해할 수 있습니다.

• 모든 파일, 레지스트리 키, URL 등을 포함하여 사고를 발생시킨 전체 이벤트 체인을 표시합니다.

응답 (자동 사고 대응)
보안 정책을 설정하면 감염 및 사고에 몇 초 만에 자동으로 대응할 수 있습니다. 이는 다음과 같이 보장됩니다.

• 감염된 장치를 즉시 격리하고 실시간으로 공격을 중지합니다(동일한 네트워크/브로드캐스트 도메인 내에서도).
• 정책을 준수하지 않는 장치에 대해 회사 네트워크 리소스에 대한 액세스를 제한합니다.
• 나가는 스팸이 감지되면 원격으로 장치 검사를 시작합니다.

우리는 Sophos Central의 기반이 되는 주요 보안 원칙을 살펴보았습니다. 이제 SynSec 기술이 실제로 어떻게 나타나는지 설명하겠습니다.

이론에서 실습까지

먼저 Heartbeat 기술을 사용하여 SynSec 원리를 사용하여 장치가 상호 작용하는 방법을 설명하겠습니다. 첫 번째 단계는 Sophos Central에 Sophos XG를 등록하는 것입니다. 이 단계에서 사용자는 자체 식별을 위한 인증서, 최종 장치가 Heartbeat 기술을 사용하여 자신과 상호 작용할 IP 주소 및 포트는 물론 Sophos Central을 통해 관리되는 최종 장치의 ID 목록과 해당 클라이언트 인증서를 받습니다.

Sophos XG 등록이 발생한 직후 Sophos Central은 하트비트 상호 작용을 시작하기 위해 끝점에 정보를 보냅니다.

• Sophos XG 인증서를 발급하는 데 사용되는 인증 기관 목록
• Sophos XG에 등록된 장치 ID 목록
• Heartbeat 기술을 사용한 상호 작용을 위한 IP 주소 및 포트입니다.

이 정보는 컴퓨터의 %ProgramData%SophosHearbeatConfigHeartbeat.xml 경로에 저장되며 정기적으로 업데이트됩니다.

하트비트 기술을 사용한 통신은 매직 IP 주소 52.5.76.173:8347로 메시지를 보내는 엔드포인트에 의해 수행됩니다. 분석 과정에서 벤더가 명시한 대로 15초 간격으로 패킷이 전송되는 것으로 나타났습니다. Heartbeat 메시지는 XG Firewall에 의해 직접 처리된다는 점은 주목할 가치가 있습니다. XG Firewall은 패킷을 가로채고 엔드포인트의 상태를 모니터링합니다. 호스트에서 패킷 캡처를 수행하면 실제로는 엔드포인트가 XG 방화벽과 직접 통신하고 있지만 트래픽은 외부 IP 주소와 통신하는 것처럼 보입니다.

악성 애플리케이션이 어떻게든 컴퓨터에 침투했다고 가정해 보세요. Sophos Endpoint가 이 공격을 탐지하지 않으면 이 시스템에서 하트비트 수신을 중단합니다. 감염된 장치는 감염된 시스템에 대한 정보를 자동으로 전송하여 자동 작업 체인을 트리거합니다. XG Firewall은 컴퓨터를 즉시 격리하여 공격이 확산되고 C&C 서버와 상호 작용하는 것을 방지합니다.

Sophos Endpoint는 악성 코드를 자동으로 제거합니다. 제거되면 최종 장치가 Sophos Central과 동기화된 다음 XG Firewall이 네트워크에 대한 액세스를 복원합니다. 근본 원인 분석(RCA 또는 EDR - 엔드포인트 탐지 및 대응)을 통해 발생한 상황을 자세히 이해할 수 있습니다.

모바일이나 태블릿을 통해 기업의 자원에 접근한다고 가정할 때, SynSec을 제공하는 것이 가능한가요?

Sophos Central은 이 시나리오를 지원합니다. 소포스 모바일 и 소포스 와이어리스. 사용자가 Sophos Mobile로 보호되는 모바일 장치에서 보안 정책을 위반하려고 한다고 가정해 보겠습니다. Sophos Mobile은 보안 정책 위반을 감지하고 시스템의 나머지 부분에 알림을 보내 사건에 대해 사전 구성된 대응을 시작합니다. Sophos Mobile에 "네트워크 연결 거부" 정책이 구성되어 있는 경우 Sophos Wireless는 이 장치에 대한 네트워크 액세스를 제한합니다. Sophos Wireless 탭 아래 Sophos Central 대시보드에 장치가 감염되었음을 알리는 알림이 표시됩니다. 사용자가 네트워크에 액세스하려고 하면 인터넷 액세스가 제한되었음을 알리는 스플래시 화면이 화면에 나타납니다.

엔드포인트에는 빨간색, 노란색, 녹색 등 여러 가지 하트비트 상태가 있습니다.
다음과 같은 경우 빨간색 상태가 발생합니다.

• 활성 악성 코드가 감지되었습니다.
• 맬웨어 실행 시도가 감지되었습니다.
• 악성 네트워크 트래픽이 감지되었습니다.
• 악성코드는 제거되지 않았습니다.

노란색 상태는 엔드포인트가 비활성 악성 코드를 감지했거나 PUP(잠재적으로 원치 않는 프로그램)를 감지했음을 의미합니다. 녹색 상태는 위의 문제 중 어느 것도 감지되지 않았음을 나타냅니다.

보호된 장치와 Sophos Central의 상호 작용에 대한 몇 가지 기본 시나리오를 살펴본 후 솔루션의 그래픽 인터페이스에 대한 설명과 기본 설정 및 지원 기능을 검토해 보겠습니다.

그래픽 인터페이스

제어판에 최신 알림이 표시됩니다. 다양한 보호 구성 요소에 대한 요약도 다이어그램 형식으로 표시됩니다. 이 경우 개인용 컴퓨터 보호에 대한 요약 데이터가 표시됩니다. 이 패널은 위험한 리소스와 부적절한 콘텐츠가 포함된 리소스를 방문하려는 시도에 대한 요약 정보와 이메일 분석 통계도 제공합니다.

Sophos Central은 심각도별 알림 표시를 지원하여 사용자가 중요한 보안 경고를 놓치는 것을 방지합니다. 보안 시스템 상태에 대한 간결하게 표시된 요약 외에도 Sophos Central은 이벤트 로깅 및 SIEM 시스템과의 통합을 지원합니다. 많은 기업에서 Sophos Central은 내부 SOC와 고객에게 서비스(MSSP)를 제공하기 위한 플랫폼입니다.

중요한 기능 중 하나는 엔드포인트 클라이언트에 대한 업데이트 캐시 지원입니다. 이 경우 업데이트가 엔드포인트 클라이언트 중 하나에 한 번 다운로드되고 다른 엔드포인트가 여기에서 업데이트를 다운로드하므로 외부 트래픽의 대역폭을 절약할 수 있습니다. 설명된 기능 외에도 선택한 엔드포인트는 보안 정책 메시지와 정보 보고서를 Sophos 클라우드에 전달할 수 있습니다. 이 기능은 인터넷에 직접 접속할 수 없지만 보호가 필요한 최종 장치가 있는 경우 유용합니다. Sophos Central은 컴퓨터의 보안 설정 변경이나 엔드포인트 에이전트 삭제를 금지하는 옵션(무단 변경 방지)을 제공합니다.

엔드포인트 보호의 구성 요소 중 하나는 차세대 바이러스 백신(NGAV)입니다. 절편 X. 심층적인 기계 학습 기술을 사용하는 바이러스 백신은 서명을 사용하지 않고도 이전에 알려지지 않은 위협을 식별할 수 있습니다. 탐지 정확도는 시그니처 아날로그와 유사하지만, 이와 달리 사전 예방적 보호를 제공하여 제로데이 공격을 방지합니다. Intercept X는 다른 공급업체의 시그니처 바이러스 백신과 병행하여 작동할 수 있습니다.

이 기사에서는 Sophos Central에서 구현되는 SynSec 개념과 이 솔루션의 일부 기능에 대해 간략하게 설명했습니다. 다음 문서에서는 Sophos Central에 통합된 각 보안 구성 요소가 어떻게 작동하는지 설명합니다. 솔루션의 데모 버전을 얻을 수 있습니다 여기에.

출처 : habr.com