Emulace nepřítele v IT prostředích

David Řeháček , 14. srpen 2013 10:00 3 komentářů
Emulace nepřítele v IT prostředích

Úsloví „poznej svého nepřítele stejně, jako znáš sám sebe“, platí ve světě IT bezpečnosti dvojnásob. Podniky čelí stále novým protivníkům, kterých každým dnem přibývá. Chtějí útočit, narušovat provoz a nenápadně získávat důvěrné informace, k čemuž využívají úžasné spektrum škodlivých kódů. Poznání nepřítele se tedy mění ve velmi náročný, ale nutný úkol.

Z kybernetické kriminality se stal velký byznys, stejně jako z každého jiného oboru. Zločinci chtějí navyšovat své příjmy i teoretický tržní podíl. Svými útoky tedy cílí na stovky či tisíce společností a chtějí zvýšit pravděpodobnost úspěchu. Nejčastěji používanou útočnou technikou je neviditelný malware, který má velmi nízkou pravděpodobnost detekce bezpečnostními systémy a operuje mimo viditelné spektrum IT týmů.

Pro dokreslení představy o průmyslovém měřítku současné kybernetické kriminality poslouží počty nových vzorků malwaru, které byly vytvořeny a distribuovány každý den v roce 2012 - šlo o 70 až 100 tisíc škodlivých kódů denně. Oproti roku 2011 se jejich počet zdesetinásobil, ve srovnání s rokem 2006 došlo k více než stonásobnému nárůstu. Pro konvenční anti-malwarové přístupy je nemožné držet tempo s tímto masivním růstem. Studie Check Point 2013 Security Report zjistila, že 63 procent organizací bylo infikováno boty a více než polovina se každý den nakazila novým škodlivým kódem.

Mimo vizuální kontakt

Bojový kodex valné většiny nových infekcí má podobu běžně využívaných typů souborů, které každý využívá k práci. Jde například o e-maily, dokumenty Word nebo PDF soubory, tabulky Excel a podobně. Hackeři mají vypracovány postupy a disponují nástroji, kterými ukryjí vykonavatelné skripty v těchto souborech a zamaskují jejich škodlivou činnost. Znamená to, že změní registry v infikovaném počítači nebo stáhnou spustitelný program, který následně infikuje celou síť. S rostoucím objemem přenosů v podnikových sítích a s rostoucími počty distribuovaného a do neškodně vyhlížejících souborů ukrývaného malwaru se organizace stávají velmi zranitelné na tzv. útoky nultého dne (zero-day attacks). A i když obranné vrstvy v podobě řešení IPS a IDS mohou pomoci s blokací některých aktivit malwaru, přece jen nezabrání infekcím, které dorazily do sítě a šíří se v ní.

Už vzhledem k počtu a komplexnosti nových útoků můžeme jen stěží doufat, že víme vše o našich nepřátelích. Můžeme však pochopit jejich záměry a poznat metody, které k útokům pravděpodobně využijí. Získáme tak životně důležité informace, které mohou být využity pro identifikaci a eliminaci nových rizik.

Stejně jako bude hraniční kontrola využívat řadu technik k pozorování vstupujících lidí a k identifikaci těch, kteří představují hrozbu, i nové bezpečnostní techniky umožnily kontrolovat e-maily, soubory a data vstupující do sítě. Dokáží i izolovat škodlivé soubory na síťové hranici. K infekci tudíž nedojde a nebude ani nijak ovlivněn chod byznysu.

Pozorovat, emulovat, sdílet, chránit

Sun-c
Sun-c'
Výše popsaného efektu lze dosáhnout s pomocí techniky zvané emulace hrozeb. Podobně jako rentgenové skenery na hraničních kontrolách umožňuje i tato metoda nahlížet do nitra vyšetřovaných souborů, které dorazí ke vstupní bráně podnikové sítě. Jejich obsah je kontrolován ve virtualizovaném a odděleném prostředí, označovaném jako „sandbox“. V něm dochází k otevření nebo spuštění podezřelého souboru, následně je v reálném čase sledováno jeho chování, respektive chování neobvyklé. Může jít například o pokusy o abnormální změny v registrech, případně o síťová spojení. Je-li chování souboru shledáno podezřelým nebo škodlivým, dojde k jeho přesunu do karantény a k zablokování. V podstatě jde o prevenci jakýchkoli možných infekcí předtím, než vstoupí do sítě a způsobí škodu.

Po detekci a blokaci škodlivého souboru mohou organizace sdílet informace o nových hrozbách. Pomohou tak dalším v obraně před infekcemi. Díky tomu se šíří získaná znalost nových nepřátel, což je podobné spolupráci globálních zdravotních organizací v boji s šířícími se nákazami. Minimalizuje se tak časové okno mezi objevením nového útoku a přípravou k obraně proti němu.

Studie z roku 2012 zjistila, že u 85 procent narušení kybernetickými útoky trvalo týdny nebo ještě déle, než byly alespoň objeveny. Pokud mohou společnosti sdílet on-line informace o pokročilých hrozbách ve chvíli, kdy jsou identifikovány a předtím, než infikují další sítě, míra infekcí se může dramaticky snížit. Širší podnikové komunitě lze tímto způsobem pomoci k tomu, aby se o společném nepříteli dozvěděla alespoň něco ještě předtím, než dojde k útoku. Emulace se může stát jednou z nejsilnějších metod ochrany proti novým hrozbám.

David Řeháček

Autor je Field Marketing Managerem pro Východní Evropu a Řecko ve společnosti Check Point Software Technologies.


Komentáře

peter #1
peter 14. srpen 2013 19:03

ako dlho trva prechod zo sandboxu az kym sa infikovnae pdf posle realne do siete ?
ako je riesena ochrana proti "spiacemu" kodu ktory sa spusti az o niekolko dni/tyzdnov ?

rootless rooter #2
rootless rooter 15. srpen 2013 09:10

imho placete na nespravnom hrobe - vsimnite si,ze clanok napisal ' Field Marketing Manager'
inak clanok nuda,navyse plny buzzwords [kyberneticke utoky ftw!]

Petr Kadrmas, CheckPoint #3
Petr Kadrmas, CheckPoint 15. srpen 2013 10:17

Emulace v popisovaném řešení Threat Emulation od společnosti Check Point trvá přibližně 60-70 sekund. Po tu dobu se sledují a vyhodnocují aktivity při otevření/spuštění souboru v různých verzích OS a pomocí různých prohlížečů.
Pokud malware v dokumentu používá časové zpoždění a/ nebo nebo čeká na aktivity uživatele, musí spusit proces, který sleduje čas nebo činnost uživatele. Threat Emulation takový proces detekuje a na základě toho může určit, že má daný soubor škodlivý obsah.

RSS 

Komentujeme

Další na řadě je bezpečnost

Richard Jan Voigts , 09. říjen 2017 00:00
Richard Jan Voigts

Co všechno lze automatizovat pomocí strojového učení? Larry Ellison, technologický ředitel společnos...

Více







RSS 

Zprávičky

Seznam loni zvýšil čistý zisk o 9 % na 1,1 miliardy Kč

ČTK , 18. říjen 2017 10:00

Největší podíl na tržbách měly příjmy z reklamy ve vyhledávání, tedy z reklamního systému Sklik. ...

Více 0 komentářů

Dopravní podnik spustil v 6 stanicích metra wi-fi připojení k internetu

ČTK , 18. říjen 2017 08:00

Ve stanicích je rozmístěno 75 vysílačů a dodavatelská firma musela vybudovat veškerou infrastrukturu...

Více 0 komentářů

Digitální kancelář

Intexx, 18. říjen 2017 08:00

Ať už na intranetu, extranetu nebo na sociální platformě – vytvořte si s Intrexxem snadno a na míru ...

Více

Starší zprávičky

Microsoft uvolnil Fall Creators Update Windows 10

Pavel Houser , 17. říjen 2017 19:02

Smíšená realita, komfort pro e-knihy, ochrana před ransonmwarem a efektivnější propojení PC se smart...

Více 0 komentářů

Vůz bez řidiče Link & Go jezdil v Plzni, ve středu se chystá do Prahy

ČTK , 17. říjen 2017 17:49

Vůz Link & Go je pro inženýry vzor, který už je odzkoušený a funguje jako prototyp....

Více 0 komentářů

Závažná chyba v protokolu WPA2 (aktualizace)

Pavel Houser , ČTK , 17. říjen 2017 16:25

Odborníci z univerzity v belgické Lovani odhalili závažnou chybu ohrožující bezpečnost internetového...

Více 0 komentářů

Nová zero day zranitelnost v Adobe Flash

Pavel Houser , 17. říjen 2017 14:04

Po úspěšném zneužití zranitelnosti dojde k nainstalování malwaru FinSpy....

Více 0 komentářů