Analysieren, Überwachen und Melden von IT-Sicherheitsproblemen

Transkript

1 Analysieren, Überwachen und Melden von IT-Sicherheitsproblemen IBM X-FORCE THREAT INTELLIGENCE Dominik Brugger Development Manager IBM Security, Kassel IT-Sicherheitstag September

2 Überblick Illustration eines Angriffs Fragen bei der Analyse Threat Intelligence Globale Quellen Beispiel IP-Reputation Kollaboration 2 IBM Security

3 ATTACK CHAIN Illustration eines Angriffs

4 Attack Chain Angreifer Ziel Erkundung Ausrüstung Zustellung Beobachtungen Quell/Ziel IPs Protokolle URLs Dateien Ausnutzung Installation Command & Control Aktion 4 IBM Security

5 Erkundung Angreifer Agent Netzwerkscans Social Erkundung Ausrüstung Zustellung Ausnutzung Installation Command & Control Aktion - 5 IBM Security

6 Ausrüstung Malware Konstruktion oder Akquise Angreifer Agent Erkundung Ausrüstung Zustellung Ausnutzung Installation Command & Control Aktion 6 IBM Security

7 Zustellung Malware Zielgerichtete Spam URL Dropper Angreifer Agent Erkundung Ausrüstung Zustellung Ausnutzung Installation Command & Control Aktion 7 IBM Security

8 Ausnutzung Malware Zielgerichtete Spam URL Dropper Angreifer Agent Erkundung Ausrüstung Zustellung Ausnutzung Installation Command & Control Aktion 8 IBM Security

9 Ausnutzung Malware Zielgerichtete Spam URL Dropper Angreifer Agent Erkundung Ausrüstung Zustellung Ausnutzung Installation Command & Control Aktion 9 IBM Security

10 Command & Control Angreifer Agent Erkundung Ausrüstung Zustellung Ausnutzung Installation Command & Control Aktion - Datendiebstahl - Manipulation - Sabotage Botnet C&C 10 IBM Security

11 EINSCHÄTZUNG & ABWEHRMASSNAHMEN Fragen bei der Analyse

12 Fragen bei der Analyse Was nun? Szenario Ein Vorfall wurde gemeldet Alarm im SIEM Aus dem Datenbank Netzwerksegment wurde eine URL mit schlechter Reputation aufgerufen Analysten-Checkliste 1. Was ist bereits bekannt über die beobachteten IPs / URLs? 2. Ist der Alarm signifikant oder ein False Positive? 3. Was sind die potentiellen Auswirkung auf das Geschäft? 4. Welche Maßnahmen sind zu treffen? 12 IBM Security

13 Global Threat Intelligence Security Intelligence Cloud 13 IBM Security

14 MEHR VERSTÄNDNIS & BESSERE EINSCHÄTZUNG DURCH Threat Intelligence

15 Threat Intelligence Relevante Elemente Gruppen Actors Campaigns Incidents TTPs Indikatoren Schwachstellen URL / Web Reputation IP Reputation Internet App Profile Spam Malware 15 IBM Security

16 Zusammenspiel von hochautomatisierten Technologien und Sicherheitsteams Dynamic updates Threat Intelligence Datenbanken werden dynamisch aktualisiert und sind minutengenau Data capture Das Internet wird kontinuierlich gescannt und kategorisiert, schädliche Rechner und Spamschleudern etc. identifiziert Analysis Sicherheitsteams analysieren globale Daten und erkennen Angriffstrends und teilen ihre Einblicke 16 IBM Security

17 Globale Präsenz von IBM Security Geräte unter Vertrag 32 Mrd analysierte Webseiten und Bilder 20 Mrd Ereignisse pro Tag 133 Länder 3,700+ Sicherheits- Patente 270 Mio Endpunkte Malwareüberwacht 8 Mio Spam- und Phishingangriffe pro Tag 860 k schädliche IP-Adressen 100 k dokumentierte Schwachstellen Millionen von eindeutigen Malware Samples As of April 29, IBM Security

18 Beispiel: IP Reputation Web Crawler Anonymisierte Security Events Geschützte Endpunkte Darknet lists Honeypots Spam traps Kategorien Malware-Rechner Spam-Quellen Dynamische IPs Anonyme Proies/Tunnel Botnet Command & Control Scannende IPs 18 IBM Security

19 KOLLABORATION Zusammenarbeit zum gemeinschaftlichen Schutz

20 65% Wirtschaftsunternehmen nutzen eterne Threat Intelligence für bessere Sicherheitsentscheidungen 1 Sicherheitsteams fehlt oft die notwendige Unterstützung um diese Ressourcen voll zu nutzen. Analysten können Rauschen von Wichtigem schwer unterscheiden Daten kommen von unzuverlässigen Quellen Lange Dauer von der Information zur Umsetzung 1 Source: ESG Global 20 IBM Security

21 X-Force Echange Sammlungen vereinfachen Sicherheitsanalysen Observables & Indicators Relevante URL / IP Reputation, Malware, Schwachstellen, Higher Order Intelligence Freitet zum organisieren von Elementen, Kampagnen, TTPs, TLP Status 21 IBM Security

22 Haftungsrisiken Hemmungen zur Zusammenarbeit Unternehmensrichtlinien Fehlende Prozesse Mangelnde Ressourcen Fehlende vertrauenswürdige Beziehungen 22 IBM Security

23 use cases: Sicherheitserkenntnisse mit von Eperten geprüften Inhalten erhärten Kollaborative Threat Intelligence Mit Fachkollegen zusammen Bedrohungen validieren und Responsepläne entwickeln Sicherheitslösungen mit Threat Intelligence stärken über offene Standards 23 IBM Security

24 THANK YOU FOLLOW US ON: ibm.com/security/force securityintelligence.com youtube/user/ibmsecuritysolutions Copyright IBM Corporation All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any kind, epress or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, nor shall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the use of IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and / or capabilities referenced in these materials may change at any time at IBM s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future product or feature availability in any way. IBM, the IBM logo, and other IBM products and services are trademarks of the International Business Machines Corporation, in the United States, other countries or both. Other company, product, or service names may be trademarks or service marks of others. Statement of Good Security Practices: IT system security involves protecting systems and information through prevention, detection and response to improper access from within and outside your enterprise. Improper access can result in information being altered, destroyed, misappropriated or misused or can result in damage to or misuse of your systems, including for use in attacks on others. No IT system or product should be considered completely secure and no single product, service or security measure can be completely effective in preventing improper use or access. IBM systems, products and services are designed to be part of a lawful, comprehensive security approach, which will necessarily involve additional operational procedures, and may require other systems, products or services to be most effective. IBM DOES NOT WARRANT THAT ANYSYSTEMS, PRODUCTS OR SERVICES ARE IMMUNE FROM, OR WILL MAKE YOUR ENTERPRISE IMMUNE FROM, THE MALICIOUS OR ILLEGAL CONDUCT OF ANY PARTY.

25 Appendi

26 TAKING ACTION Integration mit Sicherheitslösungen

27 Verschiedene Arten zur Integration von X-Force Threat Intelligence Integriert Direkte Nutzung Delivery Layer IBM Security Produkte OEM Plattform Nutzer Offene API Kommerzielle API SDK Portal API Threat Intelligence Inhalte Platform Layer SDK Schwachstellen Malware Malware Familien IP Reputation URL Reputation Internet App Profile pdns Whois Information Sammlungen Data & intelligence sources Analytics Engine 27 IBM Security

28 Private Zusammenarbeit auf X-Force Echange Private Gruppen 28 IBM Security