Технологии динамического обнаружения целенаправленных атак - Современные угрозы и защита от них - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Технологии динамического обнаружения целенаправленных атак

Recommended Posts

Сергей Ильин

Вы еще пугаете людей APT? Тогда Cezurity уже идет к вам :)

Сегодня пришел вот такой пресс-релиз:

*******************

Компания Cezurity, российский разработчик средств обеспечения информационной безопасности, объявляет о завершении разработки собственной технологии обнаружения целенаправленных (таргетированных) атак на информационные системы предприятий.

Характер обнаруженных в последнее время атак (Stuxnet, Duqu, операция Аврора, атака на компанию RSA Security и др.) говорит о том, что компьютерные угрозы изменились. Хотя киберпреступность существует уже много лет, сегодня она начинает приобретать черты организованной и хорошо финансируемой индустрии.

Все более распространенными становятся так называемые целенаправленные атаки (Advanced Persistent Threats, APT) ключевая особенность которых состоит в том, что преступников интересуют конкретные цели. Как правило, такими целями являются информационные системы предприятий и даже государств. С помощью атаки решаются задачи, связанные с кибершпионажем или получением той или иной выгоды от компрометации данных. При этом, так как данные всегда защищены, основной точкой приложения усилий атакующих становится обход существующей защиты. Традиционные средства защиты, такие как, например, антивирусы, хотя и продолжают использоваться повсеместно, сегодня не в состоянии справиться с целенаправленными атаками.

Целенаправленые атаки обычно растянуты во времени и поэтапны. От начала атаки до момента уничтожения следов присутствия могут пройти годы. При этом злоумышленники используют самые разные методы сбора данных и внедрения в информационные системы. Это может быть социальная инженерия, эксплуатация известных и неизвестных (0day) уязвимостей, вредоносные программы и инструменты сокрытия их присутствия в системах. В атаках могут участвовать инсайдеры – помощники злоумышленников, работающие в атакуемых организациях.

Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

Для того, чтобы обнаружить атаку, оцениваются изменения систем во времени. Каждый из компьютеров, составляющих IT-инфраструктуру, периодически сканируется – собирается информация о состоянии критических объектов. Это такие характеристики, как, например, геометрия исполняемых файлов, положение объектов в системе, их взаимосвязь между собой, поведенческие портреты приложений. Полученная информация классифицируется и сравнивается с результатами прошлых сканирований. В произошедших изменениях осуществляется поиск аномалий. Найденные аномалии подвергаются машинному, а при необходимости и ручному анализу.

В отличие от традиционных подходов, при динамическом обнаружении анализируются не отдельные состояния систем, а произошедшие изменения. Безопасность обеспечивается тем, что защита, как и сама атака, представляет собой постоянный, протяженный во времени процесс, в котором центральное место занимает обнаружение действий злоумышленников.

“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

Одно из ключевых преимуществ разработанной Cezurity технологии состоит в том, что атака может быть обнаружена вовремя – на самой ранней стадии. При этом детектироваться будет любая из попыток и любой из этапов атаки, что позволит значительно снизить риск компрометации IT-инфраструктуры.

“Обратная сторона высокой точности обнаружения – это необходимость обрабатывать огромное количество информации, – говорит Кирилл Пресняков, – в основе нашего подхода лежат как облачные технологии, в первую очередь – разработанная Cezurity платформа анализа Cezurity Cloud, так и целый ряд методов интеллектуальной обработки больших массивов данных. За счет того, что основная часть вычислительных процессов происходит в облаке, в решении Cezurity удалось совместить точность детектирования с высокой стабильностью работы и крайне низким влиянием на клиентские приложения”.

*****************************

Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
  Сергей Ильин сказал:
Разработанная компанией Cezurity технология динамического обнаружения основана на том, что действия злоумышленников неизбежно приводят к изменению атакуемых систем.

"К нам едет ревизор!" ;)

  Цитата
“Динамическое обнаружение можно сравнить с шахматной партией, когда у защищающейся стороны есть инструмент, позволяющий увидеть замысел противника после каждого хода на основе его предыдущих действий, – говорит ведущий аналитик компании Кирилл Пресняков, – целенаправленные атаки зачастую хорошо спланированы и скрыты, отдельные события могут не вызывать никаких подозрений”.

О, знакомые всё лица ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus

Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
  totuus сказал:
Проблема только в том будете ли Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Вы сейчас о ком?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
  totuus сказал:
Вероятнее всего антивирусом и стырил файлы в свое облако.

Какие файлы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alamor
  totuus сказал:
Вы доверять компании, работник которой в своём блоге хвалится как много файлов он наворовал с чужих компьютеров.

Работник какой компании?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus
  sww сказал:
Какие файлы?
  alamor сказал:
Работник какой компании?

Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Читал пейджер, долго думал (с) не я

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
KIS_fan
  Сергей Ильин сказал:
Или ребята "в гараже" решили задачу, которая не поддается гигантским корпорациям и имеют шансы здорово подняться, или в деталях все может быть не так красиво.

Как не поддаётся ? Свежая статья Е.Касперского

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
  Цитата
Как не поддаётся ? Свежая статья Е.Касперского

В статье речь о другом совсем. Насколько я понимаю, ZETA Shield анализирует контент, который через этот компонент проходит, выявляются аномалии, куски кода, которые далее отдаются другим компонентам.

У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

  Цитата
интересно, а HIPS разве не контролирует изменения критических файлов? или в целом системы? ИМХО - да, контролирует и выдает соответствующие сигналы....

Вот это как раз самое интересно. Получается HIPS просто завернули в другую упаковку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
  totuus сказал:
Удивлен что пока никто задал вопрос "Что такое антивирус?". На сайте у них он записан основателем, правда с измененой фамилией.

Для мудрых людей предоставленной информации достаточно чтобы задуматься.

Мудрым людям необходимы пруфы, а не вбросы. А таких вбросов про Спорава мы уже видели-перевидели. Осталось только еще про Навального написать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
  Сергей Ильин сказал:
У Cezurity речь о другом, они анализируют изменения системы, ее целостности.

Но при этом замечу:

1. такая технология известна дцать лет

2. такая технология не будет эффективно работать по множеству причин. Простейшая звучит так - "приложение X обновлено разработчиками ввиду устранения баги Y и добавления фичи Z". Исполняемые файлы приложения поменялись, добавилась пара DLL. Обновление прошло скажем на 10 ПК, где это приложением применяется. Остался один простой вопрос - где гарантия, что злобный разработчик не добавил в программу небольшую недокументированную закладочку ? Для нанесения непоправимого вреда достаточно сотни байт кода, который утонет в мегабайтах полезного... поэтому понять, что приложение обновилось, тривиально. А вот понять, появились ли в нем закладки ...

3. Кто сказал, что система уже не модифицирована злодеями на момент внедрения ? (сравнивать то нужно с чем-то)

4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
  Зайцев Олег сказал:
4. Кто сказал, что APT - это обязательно изменения в системе у юзеров ?! Мне известны десятки высокотехнологичных атак на инфраструктуру, где в итоге ни одного байта на ПК юзеров не меняется ...

Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Зайцев Олег
  sww сказал:
Кхм, ну да, при условии, что винт вместе с оперативной памятью просто спёрли из компа, то да, ни один байт не пострадал изменился.

В ином случае неплохо было бы раскрыть тему "атак на инфраструктуру". Например, атаки на мусорные вёдра с секретной информацией.

Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений. И периодические сканирования/сравнения, как сказано в начале топика, ничего не дадут - изменений оно не найдет. Или например на диске что-то создается, но имхо глупо надеяться, что APT будет на самом видном месте оставлять следы - логично выполнить свое черное дело, самоуничтожиться и затереть все следы активности. Сложную аппаратную закладку такое сканирование тоже не обнаружит - так как для аппаратной закладки никакие изменения в системе не нужны... От атаки на дырявое железо фирмы это тоже не спасет (так как мониторятся ПК, где все хорошо)

Это техническая сторона, а не техническая - те самые мусорные ведра, черновики, эксплуатация бардака с хранением флешек и защитой от воровства техники, социальная инженерия - имхо если речь идет о APT, то все это будет применяться, если цель оправдывает средства.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
sww
  Зайцев Олег сказал:
Самый простой пример: злодеи неким хитрым эксплоитом внедрили код в память процесса. Код работает, что-то там делает - но на диске нуль изменений.

Изменения в памяти, есть

  Цитата
обязательно изменения в системе у юзеров

Собственно на это я и намекаю.

С моей точки зрения быть только в памяти тупо, т.к. нужно закрепиться, а постоянно "пробивать" - неудобно. Даже серверы перезагружают. К тому же, мы не знаем как устроен ревизор Цезурити.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
totuus

В связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву? Все-таки репутационный ущерб как-никак.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
  Цитата
связи с этими событиями возникает вопрос к КЛ: будете ли возбуждать дело к гражданину Воробьеву?

А кто такой этот гражданин Воробьев?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • demkd
      Для этого есть программы и работают они медленно по очевидным причинам. uVS и так показывает внедренные потоки и DLL в любой из запущенных процессов.
    • PR55.RP55
      Demkd Я бы ещё добавил подсчёт идентичных файлов.  ( если это принципиально не скажется на производительности ) По крайней мере раньше бывало и такое, что в системе десятки идентичных  файлов - но  с разными именами. И Опционально Запуск uVS - в качестве ловушки. Например  программа стартует не как: gvprin , а как firefox.exe и отслеживает всех желающих... приобщиться.    
    • PR55.RP55
      Добавить возможность "автоматического" контроля со стороны оператора\админа за актуальностью\версией установленных программ. т.е. Оператор создаёт файл "Контроль Программ.txt" и следит за его актуальностью. И при открытии меню: Дополнительно > Установленные программы  в списке отображаться не только версия установленной программы - но и её актуальная версия из Контроль Программ.txt * * или же вместо числового значения\версии - отображается запись\уведомление заданное оператором: - например: ! Внимание найден антивирус ! ** Все записи подпавшие под... критерий - перемещаются в начало списка.  
    • demkd
      ---------------------------------------------------------
       4.99.6
      ---------------------------------------------------------
       o Добавлен еще один ключ автозапуска, используемый троянами и майнерами.

       o Добавлена новая опция запуска uVS: Искать в пользовательских каталогах скрытые исполняемые файлы.
         В пользовательских каталогах не должно быть подобных файлов, если же они есть то стоит внимательно изучить их содержимое.
         По умолчанию опция включена, отключить ее можно в окне запуска.
         Если опция включена то просматривается весь каталог "Documents and Settings" (Users+ProgramData для новых систем)
         со всеми подкаталогами. При обнаружении исполняемых файлов с атрибутами "скрытый" или "системный" такой файл добавляется
         в список со статусом "подозрительный", статус может быть снят автоматически если файл есть в базе проверенных файлов.
         Сканирование каталогов идет в отдельном потоке параллельно с построением списка автозапуска,
         однако включение этой опции может увеличить время обновления списка для одноядерных процессоров и систем на HDD.
         Тестировании проводилось только для системы на SSD, тестовый "Documents and Settings" содержал в себе 70979 подкаталогов с 452175 файлами,
         время обновления списка (при запуске uVS сразу после перезагрузки системы) увеличилось на 5%.

       o В лог добавлен статус Windows Defender-а.

       o В лог добавлен статус отслеживания командной строки процессов.

       o Добавлена возможность удаления исключений Windows Defender-а в активной системе без виртуализации реестра с помощью powershell.
         Функция может удалять исключения: путь, процесс, расширение.
         (!) Функция недоступна если powershell отсутствует или powershell не имеет правильной эцп.
       
    • PR55.RP55
      Похоже эти версии https://vms.drweb.ru/virus/?i=21513908 https://vms.drweb-av.es/virus/?i=22278785    
×