Next Generation Firewall: Security & Operation Intelligence Umfassend über unterschiedliche Infrastrukturbereiche (P, DC, RA) Flexible Umsetzung: unterschiedliche Topologien & Plattformen Eine Richtlinie: Virtualisierung & Kontrolle Inhalte, Anwendungen, Benutzer, Maschinen, Plattformen Gleicher Workflow für gezielte, bekannte und unbekannte Angriffe Rule Lifecycle Management: Integration in Management-Prozesse Achim Kraus Palo Alto Networks Inc. 10.2013
Sichtbarkeit & Transparenz: Entscheidungsqualität? REUTERS 2
Network Security? 3
Die strategische Rolle moderner Malware Infektion Eskalation Remote Control Perimeter Datacenter Malware Fuss in der Tür zu Kontrolle und Erweiterung langfristiger Angriffe. 4
Ablauf 1 2 3 4 5 Ködern End-Benutzer Exploit Download Hintertür Herstellen Rückweg Erforschen & Stehlen End-Benutzer zu einer bösartigen Anwendung oder Web-Seite geködert Infizierter Inhalt nutzt den End- Benutzer aus ohne dessen Wissen Zweiter Inhalt im Hintergrund herunter geladen: Malware installiert Malware stellt ausgehende Verbindung zum Angreifer her um Kontrolle zu übernehmen Entfernter Angreifer hat Kontrolle im Netzwerk und weitet Angriff aus 5
Netzwerkfähigkeit moderner Malware 16.497 neu entdeckte, unbekannte Malware (Monat) Nicht-standardisierte Netzwerk-Ports Proxies, Anonymisierung und individuelle Kommunikation 66 % 80 % 59 % Unerkannt von traditionellen AntiVirus-Anbietern 13.256 Samples erzeugten Internet-Kommunikation 7.918 nutzten ausweichende Netzwerk-Kommunikation 6
Verhaltensweisen moderner Malware (am Endgerät) 0.00% 10.00% 20.00% 30.00% Contained unknown TCP/UDP traffic Visited an unregistered domain Sent out emails 20.46% 24.38% 29.39% Used the POST method in HTTP 12.38% Triggered known IPS signature IP country different from HTTP host TLD Communicated with new DNS server Downloaded files with an incorrect file extension Connected to a non standard HTTP port Produced unknown traffic over the HTTP port Visited a recently registered domain Visited a known dynamic DNS domain Visited a fast-flux domain 7.10% 6.92% 5.56% 4.53% 4.01% 2.33% 1.87% 0.56% 0.47% Source: Palo Alto Networks, WildFire Malware Report 7
Verhaltensweisen moderner Malware (am Endgerät) 0.00% 10.00% 20.00% 30.00% 40.00% Copied itself 30.16% Created an executable file in Windows folder Masqueraded as a Windows system program Registered a file as auto-start 18.30% 27.68% 24.49% Downloaded executable files 15.79% Changed the Windows firewall policy Scheduled a file name change 8.95% 6.94% Moved itself 5.36% Created a hidden file in the Windows folder Disabled the ability to change the Show Hidden Files and Folders Disabled the Windows phishing filter 3.24% 1.98% 1.92% 8
Verhaltensweisen moderner Malware (am Endgerät) outbound' traffic' 33%' persistence' 33%' analysis'avoidance' data'the/ ' hacking' persistence' hacking' 5%' data'the2' 10%' analysis' avoidance' 19%' outbound'traffic' Source: Palo Alto Networks, WildFire Malware Report 9
Anwendungen: Visualisierung & Kontrolle (NGFW) persistence' 33%' hacking' 5%' data'the2' 10%' outbound' traffic' 33%' analysis' avoidance' 19%' analysis'avoidance' data'the/ ' hacking' persistence' outbound'traffic' Source: Palo Alto Networks, WildFire Malware Report 10
Benutzer & Gruppen: ID-Management 11
Next Generation Firewall 'Threat Log' 12
Next Generation Firewall 'Traffic Log' 13
Next Generation Firewall 'Data Filter Log' 14
Vom Log-File zum Berichtswesen 15
NGFW: Security & Operations Intelligence Integriertes Reporting: PAN-OS Custom Reports Next Generation Firewall PAN-OS Implementierung: - Topologie: TAP, VW, L2, L3 - Infrastruktur: PM, DC, Mobile, Office, Produktion, Partner Rule Lifecycle Management: Single Pass Log XML, CSV, PDF API 3 rd Party (SIEM, ) 16
Vermeidung: 'Analysis Avoidance' (am Endgerät) outbound' traffic' 33%' persistence' 33%' analysis'avoidance' data'the/ ' hacking' 0.00% 10.00% 20.00% 30.00% 40.00% 50.00% 60.00% persistence' hacking' 5%' data'the2' 10%' analysis' avoidance' 19%' outbound'traffic' long_sleep delete_itself 20.42% 56.92% Source: Palo Alto Networks, WildFire Malware Report code_inject 13.52% Attempted to determine external IP address 0.09% Source: Palo Alto Networks, WildFire Malware Report 17
Erweiterte Threat-Analyse Inline: Lokal & Cloud 18
Erweiterte Threat-Analyse Inline: Lokal & Cloud 19
Security Policy: Host Information Profil (HIP)
Rule Lifecycle Management: Sicherheitsrichtlinien Wartung Visualisierung N/A/I/B/M Berichtswesen Definition Richtlinie Kontrolle Netzwerk. PAN-OS Applikationen. App-ID Inhalte.. Content-ID Benutzer.. User-ID Maschine. HIP 21
Infrastrukturen & Plattformen Traditionelles DC Virtualisiertes DC Cloud 22
Infrastrukturen & Plattformen Virtualisierte Server Physikalische Server 23