Security Heartbeat - Endpoint und Gateway im Zusammenspiel. Michael Veit Technology Evangelist.

Transkript

1 Security Heartbeat - Endpoint und Gateway im Zusammenspiel Michael Veit Technology Evangelist michael.veit@sophos.de 1

2 Warum sind neue Sicherheitskonzepte notwendig? 2

3 Sophos 30 Jahre Erfahrung Größter europäischer Security-Hersteller (Zentrale in GB) Komplette Security Lösungen und Support nur für Unternehmen Mitarbeiter weltweit Akquisition u.a. von Utimaco 2009, Astaro 2011, Dialogs 2012, Cyberoam 2014, Mojave 2014, Reflexion 2015, SurfRight 2015 Mitarbeiter in DACH: > 400 Gartner: Marktführer in den Bereichen Endpoint, Mobile Data Prot. & UTM Umsatz in GJ15: > 480 Mio. US$ Kunden (>100 Mio. User) Vertrieb über zertifizierte Partner 5

4 Sophos Lösungen im Zusammenspiel: UTM, MDM und Verschlüsselung zentrales Management und Konfigurationsverteilung Sophos Mobile Control Server Managed WiFi/VPN/Verschlüsselungs- Konfiguration Dateizugriff WiFi/VPN- Konfig WiFi VPN & ActiveSync Sophos UTM Server mit verschlüsselten Unternehmensdokumenten 6

5 Sophos Lösungen im Zusammenspiel: UTM, MDM und Verschlüsselung automatische Reaktion bei Richtlinienverstößen Sophos Mobile Control Server Managed Verstoß gegen Compliance-Richtlinie Dateizugriff WiFi VPN & ActiveSync Sophos UTM Server mit verschlüsselten Unternehmensdokumenten 7

6 Sophos Central Security as a Service Next-Gen Firewall UTM Zentrales Management Endpoint Wireless Web Analyse/ Korrelation Next-Gen Endpoint Mobile Dateiverschlüsselung Festplattenverschlüsselung Server 8

7 Security Heartbeat - Überblick Status des Clients wird erfasst, u.a. User-Information Health-Status Applikations-/Netzwerkverbindungskontext Quarantäne Kommunikation mit der XG-Firewall Verschlüsselte, authentisierte, persistente Verbindung zum Client Bidirektionaler Austausch von Informationen, u.a. Client-Status Automatische Abfrage des Clients von der Firewall bei APT- Kommunikation Erkennung von fehlendem Heartbeat Manuelle Abfrage durch Firewall-Admin nach Applikations-Kontext Automatisches Entfernen von SafeGuard-Schlüsselmaterial aus dem Speicher bei kritischem Client-Status 9

8 Beispiel: Erkennung neuartiger Malware Application Control Application Tracking Reputation Web Protection IoC Collector Routing Security Web Filtering Intrusion Prevention System Firewall Threat Engine SOPHOS SYSTEM PROTECTOR Security Heartbeat Security Heartbeat SOPHOS FIREWALL OPERATING SYSTEM Threat Engine Live Protection Emulator HIPS/ Runtime Protection Device Control Malicious Traffic Detection Proxy Selective Sandbox Application Control Data Loss Prevention ATP Detection Infektion User System File Rechner in Netzwerkquarantäne Schlüsselmaterial entfernen Malware beenden/bereinigen Weitere infizierte Systeme identifizieren/bereinigen 10

9 Beispiel: Heart Attack -Erkennung Management Application Control Application Tracking Reputation Web Protection IoC Collector Routing Security Web Filtering Intrusion Prevention System Firewall Threat Engine SOPHOS SYSTEM PROTECTOR Security Heartbeat Security Heartbeat SOPHOS FIREWALL OPERATING SYSTEM Threat Engine Live Protection Emulator HIPS/ Runtime Protection Device Control Malicious Traffic Detection Proxy Selective Sandbox Application Control Data Loss Prevention ATP Detection Infektion User System File Rechner in Netzwerkquarantäne Schlüsselmaterial entfernen Malware beenden/bereinigen Weitere infizierte Systeme identifizieren/bereinigen 11

10 Security Heartbeat Health-Status 12

11 Security Heartbeat Zugriff basierend auf Client-Status (1) Endpoints Compliant Teilweise compliant Sophos XG Firewall Internet Nicht compliant Nicht compliant Rechner, die nicht compliant sind, werden geblockt und identifiziert Rechner, die teilweise compliant sind, werden identifiziert und dürfen nur auf bestimmte Ziele zugreifen Server DMZ 13

12 Security Heartbeat Zugriff basierend auf Client-Status (2) 15

13 Security Heartbeat Firewall Dashboard 16

14 Security Heartbeat Kommunizierende Clients 17

15 Security Heartbeat Automatische Reaktion 18

16 Security Heartbeat Abfrage des Clients von der Firewall aus bei erkannter APT-Kommunikation 19

17 Security Heartbeat Applikationskontext Informationen und Kontrolle über unbekannte Apps Verdächtiger Endpoint 1. Admin sieht verdächtigen/unbekannten Traffic 2. Firewall fordert Kontext vom Endpoint an? Firewall 3. Information über Applikation wird ausgetauscht Admin kann gezielte Maßnahmen ergreifen (block, shape, throttle) 21

18 SafeGuard Enterprise Verschlüsselung überall Zentrale Unterwegs und zu Hause Niederlassung Daten überall 22

19 Austausch des Security Heartbeat Client Status mit SafeGuard Enterprise 8 Endpoint Client Status rot -> Schlüsselring wird gelöscht Endpoint Client Status wird wieder gelb/grün -> Schlüsselring wird vom SGN Server neu geladen 23

20 Ausblick: Technologien gegen künftige Bedrohungen 24

21 Wo Malware aufgehalten wird 80% 10% 5% 3% 2% Exposure Prevention Pre-Exec Analytics Signatures Run-Time Exploit Detection URL Blocking Web Scripts Download Rep Generic Matching Heuristics Core Rules Known Malware Malware Bits Behavior Analytics Runtime Behavior Technique Identification Traditional Malware Advanced Threats 25

22 Erweiterung der Erkennung auf Exploit-Technologien Neue Software-Verwundbarkeiten und Exploits pro Jahr 1,000 s Exploit-Techniken Etwa 1 neue Exploit-Technik pro Jahr, ~20 Techniken existieren insgesamt. Neue Malware-Varianten pro Jahr 100,000,000+ Malware-Techniken Einige Dutzend neue Varianten von Malware-Techniken pro Jahr 26

23 Permanente Aktualisierung der Exploit-Technologien 27

24 Root Cause Analysis (RCA) Verstehen des Wer, Was, Warum, Wann und Wie Root Cause Analysis Was ist passiert? Automatisches Reporting der Aktivität eines Prozesses (Dateizugriffe, Kommunikation, Starten von Prozzesen, Registry-Veränderungen, sonstige Aktivitäten im System) 30 Tage Speicherung der Protokolldaten Detaillierte grafische Darstellung der Aktivitäten/Interaktionen Betroffene Ressourcen Was ist gefährdet? Liste der zugegriffenen/veränderten von Dokumenten, Executables, Libraries und anderen Dateien Angeschlossene Geräte (z.b. Mobilgeräte) oder zugegriffene Netzwerkressourcen Zukünftige Schutzmaßnahmen Konsequenzen Empfehlungen basierend auf Sicherheitsvorfällen Maßnahmen, um zukünftige Vorfälle zu verhindern Umfangreiches Reporting des Sicherheitsstatus 28

25 Root Cause Analysis 2 29

26 Root Cause Analysis Source of infection: Chrome: Assets potentially impacted: 8 files Conviction: Free- Reports.exe C2 to IP:10.x.y.z 30

27 Root Cause Analysis 31

28 Synchronized Security von Sophos Best of breed wird ersetzt durch Security als System Erhöhte Sicherheit durch Kommunikation von Netzwerk-, Endpoint- und Verschlüsselungslösungen Schnellere Erkennung hochentwickelter Bedrohungen Aktive Identifizierung kompromittierter Systeme Automatische Reaktion auf Vorfälle Analyse der Infektions- und Verbreitungswege Zukünftig Integration weiterer Plattformen und Technologien Verbesserte Erkennung und Verhinderung von APT-Aktivitäten 32