какое основное средство защиты обязательно используется на периметре сети организации антивирус

Какое основное средство защиты обязательно используется на периметре сети организации антивирус

Обзор: Средства защиты информации и бизнеса 2014

Защита периметра традиционно необходима при подключении корпоративных сетей к сетям общего пользования. Благодаря этому можно предотвратить атаки на ресурсы компании, организовать безопасный доступ офисного персонала к внешним сетям, а удаленных авторизованных пользователей – к внутренним.

Сегодня практически невозможно представить компанию, ИТ-инфраструктура которой не имела бы средств периметральной защиты. Задача защиты периметра остается обязательным процессом на предприятиях практически любого масштаба и включает в себя использование таких средств, как шлюзы безопасности, межсетевые экраны (Firewalls), виртуальные частные сети (VPN), системы обнаружения и предотвращения вторжений (IDS/IPS).

В последнее время наблюдается тенденция по модернизации периметральных подсистем защиты. «Связано это, в первую очередь, с изменением парадигмы защиты периметра. Если классические межсетевые экраны функционируют на уровне «IP-адрес/порт», то более современные уже оперируют на уровне «пользователь/приложение», – объясняет Юрий Черкас, руководитель направления инфраструктурных решений ИБ Центра информационной безопасности компании «Инфосистемы Джет».

Источник: CNews Analytics, 2014

Во многих организациях (по оценке экспертов «Инфосистемы Джет», их количество составляет около 50% от общей массы) до сих пор применяются средства защиты, использующие классические технологии. В ближайшее время следует ожидать уверенного роста спроса на проекты по модернизации систем защиты периметра, связанных как с повышением функциональности и использованием технологий нового поколения, так и с переходом на более высокоскоростные каналы, требующие большей производительности средств защиты.

Расширение понятия

Вместе с ростом популярности идеи корпоративной мобильности BYOD (Bring Your Own Device, «возьми свое собственное устройство»), распространением удаленного доступа, облачных технологий понятие периметра расширяется. К тому же возникают новые вызовы и угрозы, на которые важно эффективно и оперативно реагировать. Это и направленные атаки, и удаленные подключения, и различные ботнеты и т.д. «Из-за появления новых угроз, используемые базовые средства информационной безопасности пересматривают даже компании с высоким уровнем зрелости», – отмечает Михаил Башлыков, руководитель направления информационной безопасности компании «Крок».

«После появления огромного количества мобильных устройств, которыми пользуются сотрудники, понятие периметра стало исчезать. Периметр переместился за границы офиса», – соглашается Аркадий Прокудин, заместитель руководителя центра компетенций информационной безопасности компании «АйТи». По его словам, очевиден общий тренд: не запрещать сотрудникам возможность работать с информацией вне офиса, а правильно управлять этой работой.

Таким образом, на сегодня защита периметра сети ─ это одна из частных задач, которая должна решаться в рамках создания комплексной системы информационной безопасности, констатируют специалисты.

Дополнительная защита

Поскольку в среде корпоративной информационной безопасности основное внимание клиентов сегодня сосредоточено на создании комплексных систем обеспечения ИБ, то это подразумевает использование целого спектра технических решений. Классическими примерами являются средства антивирусной защиты, межсетевого экранирования, криптографической защиты, обнаружения вторжений, предотвращения утечек информации, защиты от НСД и прочие, более интеллектуальные ─ системы класса SIEM, IT GRC, SOC, также нужно учитывать организационную составляющую. В последнее время появились ряд дополнительных средств защиты и технологии управления. Яркими примерами являются решения классов Breach Detection Systems и Firewall Management.

Breach Detection Systems – это дополнительные рубежи защиты, позволяющие противодействовать атакам, использующим уязвимость «нулевого дня», а также целенаправленным атакам (APT). Решения Breach Detection Systems интегрируются с традиционными средствами защиты периметра и получают от них файлы. Эти файлы запускаются в изолированной среде («песочнице»), эмулирующей рабочие станции пользователей, где производится их динамический и статический анализ. «Только такой анализ способен выявить вредоносную активность новых вирусов («нулевого дня»), сигнатуры для которых еще отсутствуют в средствах защиты. Если по результатам анализа файл признается вредоносным, то «песочница» сообщает об этом, и данный файл будет блокироваться на периметре», – рассказывает Юрий Черкас.

Firewall Management – централизованные и унифицированные средства управления межсетевыми экранами. К преимуществам их использования относятся: возможность управления межсетевыми экранами разных производителей из одной консоли; визуализация политик и правил и фильтрации на карте сети; мониторинг и анализ изменений настроек (в том числе влияние этих изменений на безопасность периметра и анализ на предмет избыточности/оптимальности правил); автоматизация процесса предоставления доступа на уровне сети (интеграция с системами Service Desk).

Основные направления ИБ, связанные с защитой периметра

Источник: «Инфосистемы Джет»,2014

На первый план выходят те средства и процедуры, которые учитывают современные подходы к коммуникациям – облачные технологии, инструменты совместной работы, мобильные устройства, а также системы виртуализации и контроля конфигураций и т.д. «Новые базовые средства ИБ должны работать на уровне приложений и быть легкоуправляемыми, в том числе и из единого центра управления», – подчеркивает Михаил Башлыков.

Комплексные требования и опыт

Требования по защите информации определенных видов, например, персональных данных и коммерческой тайны, устанавливаются в рамках федеральных законов и подзаконных актов, а контролируются регуляторами. Они же нормируют деятельность организаций по защите важных информационных ресурсов. Кроме того, существует набор ГОСТов, которые помогают компаниям выполнять эти требования и «говорят», на что нужно ориентироваться. Большая часть этих государственных стандартов ─ адаптация международных «лучших практик», например, стандарты серии 27000. Если говорить об отраслевой специфике, то в большинстве областей есть собственные регуляторы, например, Центральный банк Российской Федерации, Министерство связи и массовых коммуникаций РФ и другие.

Вместе с тем, не стоит забывать про бизнес-требования, которые также накладывают свой отпечаток. «Сегодня многие клиенты уже осознают необходимость четко увязывать построение комплексной системы ИТ и ИБ с требованиями развития бизнеса, его стратегическими целями. Наиболее преуспели в этом клиенты из телекоммуникационной отрасли и организации финансово-кредитной сферы», – говорит Дмитрий Бирюков, руководитель практики аудита и консалтинга компании «Астерос Информационная безопасность» (группа «Астерос»).

Идейно все требования к корпоративной системе защиты сводятся к нахождению компромисса между безопасностью, функциональностью бизнес-систем и удобством их использования. Основная рекомендация специалистов здесь – рассматривать вопросы безопасности уже на этапе проектирования основных бизнес-систем. «К сожалению, этот момент часто упускают, что приводит к проблемам, связанным как с выбором средств защиты, так и со сложностью их интеграции, – комментирует Юрий Черкас. – Достаточно сложно наложить функционал безопасности на уже существующий ИТ-ландшафт, который был разработан без учета требований по безопасности».

В компании «АйТи» рекомендуют своим клиентам строить комплексную систему ИБ, отталкиваясь исключительно от угроз и законодательства. Естественно, затем необходимо построить управление всей инфраструктурой и инцидентами в ИТ и ИБ. Так, в настоящее время «АйТи» работает над созданием центра управления инцидентами для одного из крупнейших банков России. Сбор данных происходит по всей стране с 65 тыс. устройств. В Москве, в едином центре, происходит управление инцидентами и разбор проблемных ситуаций.

Крупные игроки рынка информационной безопасности ежегодно выполняют десятки сложных проектов создания комплексных систем защиты, включая организацию защиты периметра. Например, один из наиболее интересных и масштабных проектов, выполненных компанией «Крок» – построение единой системы информационной безопасности для крупной госкорпорации. Стояла задача унифицировать управление информационной безопасностью в десятках предприятий с несколькими тысячами пользователей и разными типами как открытой, так и конфиденциальной информации. Для этого были разработаны отраслевые стандарты и нормативные документы, реализованы единые методологические и технические подходы к обеспечению ИБ, с учетом соответствия требованиям регуляторов проработана техническая архитектура решений. В центральном аппарате корпорации был внедрен целый перечень средств ИБ, включая системы защиты от утечек конфиденциальной информации и анализа защищенности, анитивирусную защиту и т.д.

Источник

ИТ-услуги для бизнеса

Несколько наиболее важных шагов построения базовой защиты сети предприятия

Способы защиты информации на предприятии, также как и способы ее добычи, постоянно меняются. Регулярно появляются новые предложения от компаний, предоставляющих услуги по защите информации. Панацеи конечно нет, но есть несколько базовых шагов построения защиты информационной системы предприятия, на которые вам обязательно нужно обратить внимание.

Многим наверняка знакома концепция глубокой защиты от взлома информационной сети. Основная ее идея состоит в том, чтобы использовать несколько уровней обороны. Это позволит, как минимум, минимизировать ущерб, связанный с возможным нарушением периметра безопасности вашей информационной системы.
Далее рассмотрим общие аспекты компьютерной безопасности, а также создадим некий чеклист, служащий в качестве основы для построения базовой защиты информационной системы предприятия.

1. Межсетевой экран (файрвол, брэндмауэр)

Повышенное внимание к сетевой безопасности и развитие электронной коммерции привело к тому, что все большее число пользователей используют для своей защиты шифрование соединений (SSL, VPN). Это достаточно сильно затрудняет анализ трафика проходящего через межсетевые экраны. Как можно догадаться, теми же технологиями пользуются разработчики вредоносного программного обеспечения. Вирусы, использующие шифрование трафика, стали практически не отличимы от легального трафика пользователей.

2. Виртуальные частные сети (VPN)

Ситуации, когда сотруднику необходим доступ к ресурсам компании из общественных мест (Wi-Fi в аэропорту или гостинице) или из дома (домашнюю сеть сотрудников не контролируют ваши администраторы), особенно опасны для корпоративной информации. Для их защиты просто необходимо использовать шифрованные туннели VPN. Ни о каком доступе к удаленному рабочему столу (RDP) напрямую без шифрования не может быть и речи. Это же касается использования стороннего ПО: Teamviewer, Aammy Admin и т.д. для доступа к рабочей сети. Трафик через эти программы шифруется, но проходит через неподконтрольные вам сервера разработчиков этого ПО.

К недостаткам VPN можно отнести относительную сложность развертывания, дополнительные расходы на ключи аутентификации и увеличение пропускной способности интернет канала. Ключи аутентификации также могут быть скомпрометированы. Украденные мобильные устройства компании или сотрудников (ноутбуки, планшеты, смартфоны) с предварительно настроенными параметрами подключения VPN могут стать потенциальной дырой для несанкционированного доступа к ресурсам компании.

3. Системы обнаружения и предотвращения вторжений (IDS, IPS)

4. Антивирусная защита

Прежде всего антивирусная защита нацелена на клиентские устройства и рабочие станции. Бизнес-версии антивирусов включают функции централизованного управления для передачи обновлений антивирусных баз клиентские устройства, а также возможность централизованной настройки политики безопасности. В ассортименте антивирусных компаний присутствуют специализированные решения для серверов.
Учитывая то, что большинство заражений вредоносным ПО происходит в результате действий пользователя, антивирусные пакеты предлагают комплексные варианты защиты. Например, защиту программ электронной почты, чатов, проверку посещаемых пользователями сайтов. Кроме того, антивирусные пакеты все чаще включают в себя программный брандмауэр, механизмы проактивной защиты, а также механизмы фильтрации спама.

5. Белые списки

Что из себя представляют «белые списки»? Существуют два основных подхода к информационной безопасности. Первый подход предполагает, что в операционной системе по умолчанию разрешен запуск любых приложений, если они ранее не внесены в «черный список». Второй подход, напротив, предполагает, что разрешен запуск только тех программ, которые заранее были внесены в «белый список», а все остальные программы по умолчанию блокируются. Второй подход к безопасности конечно более предпочтителен в корпоративном мире. Белые списки можно создать, как с помощью встроенных средств операционной системы, так и с помощью стороннего ПО. Антивирусное ПО часто предлагает данную функцию в своем составе. Большинство антивирусных приложений, предлагающих фильтрацию по белому списку, позволяют провести первоначальную настройку очень быстро, с минимальным вниманием со стороны пользователя.

Тем не менее, могут возникнуть ситуации, в которых зависимости файлов программы из белого списка не были правильно определены вами или антивирусным ПО. Это приведет к сбоям приложения или к неправильной его установке. Кроме того, белые списки бессильны против атак, использующих уязвимости обработки документов программами из белого списка. Также следует обратить внимание на самое слабое звено в любой защите: сами сотрудники в спешке могут проигнорировать предупреждение антивирусного ПО и добавить в белый список вредоносное программное обеспечение.

6. Фильтрация спама

Основные способы фильтрации спама:

7. Поддержка ПО в актуальном состоянии

8. Физическая безопасность

Физическая безопасность корпоративной сети является одним из важнейших факторов, который сложно переоценить. Имея физический доступ к сетевому устройству злоумышленник, в большинстве случаев, легко получит доступ к вашей сети. Например, если есть физический доступ к коммутатору и в сети не производится фильтрация МАС-адресов. Хотя и фильтрация MAC в этом случае вас не спасет. Еще одной проблемой является кража или небрежное отношение к жестким дискам после замены в сервере или другом устройстве. Учитывая то, что найденные там пароли могут быть расшифрованы, серверные шкафы и комнаты или ящики с оборудованием должны быть всегда надежно ограждены от проникновения посторонних.

Мы затронули лишь некоторые из наиболее распространенных аспектов безопасности. Важно также обратить внимание на обучение пользователей, периодический независимый аудит информационной безопасности, создание и соблюдение надежной политики информационной безопасности.
Обратите внимание на то, что защита корпоративной сети является достаточно сложной темой, которая постоянно меняется. Вы должны быть уверены, что компания не зависит всего лишь от одного-двух рубежей защиты. Всегда старайтесь следить за актуальной информацией и свежими решениями на рынке информационной безопасности.

Воспользуйтесь надежной защитой корпоративной сети в рамкам услуги «обслуживание компьютеров организаций» в Новосибирске.

Источник

Как улучшить защиту периметра сети? Практические рекомендации для Check Point и не только

Мы продолжаем цикл статей, посвященных оптимизации security настроек средств защиты периметра сети (NGFW). Хочу сразу заметить, что приведенные рекомендации подходят не только для владельцев Check Point. По сути, если разобраться, угрозы одинаковы для всех, просто каждый NGFW-вендор это решает (или не решает) по-своему. До этого мы опубликовали мини курс “Check Point на максимум”, где показали, чем опасны “дефолтные” настройки. Это были рекомендации общего характера. Теперь же нам хотелось описать более конкретные шаги по возможному усилению защиты периметра. Данная статья носит исключительно рекомендательный характер! Не стоит слепо следовать этой инструкции без предварительного анализа возможных последствий для вашей сети!

Тренды в кибератаках

Прежде чем давать рекомендации, надо понять, а что нам угрожает? От чего защищаться? Для этого я предлагаю воспользоваться отчетом Check Point за 2018 год (CYBER ATTACK TRENDS ANALYSIS). Естественно там много маркетинга, но есть и весьма полезная информация. К примеру, статистика по типам вирусных файлов, которые были получены через Web (http/https) и Email (smtp):

Из этой картинки можно получить очень важную информацию. Web и Email до сих пор два главных вектора атаки. Причем если посмотреть на статистику, то можно увидеть, что в первом полугодии преобладал SMTP, а во втором — HTTP.

Давайте посмотрим, как мы можем усилить защиту по каждому вектору атаки (т.е. по Web и Email).
Сразу оговоримся, что данных мер конечно же будет недостаточно для обеспечения комплексной защиты. Однако, если верить статистике, то мы сможем значительно улучшить безопасность нашей сети.

Усиливаем защиту от вредоносного Web-трафика

Еще в курсе “Check Point на максимум” я показал несколько приемов по улучшению защиты для Web-трафика. Самые главные пункты:

1) Блокировка контента (Content Awareness)

Как мы увидели из картинки выше, формат .exe чаще всего встречается среди вирусных файлов, которые пользователи получают через Web. Аж 46%! А нужны ли эти файлы вашим пользователям? Во 2 уроке “Check Point на максимум” я уже показывал как использовать блейд Content Awareness. Если у вас еще были сомнения на счет подобной блокировки, то еще раз взгляните на статистику. Заблокировав данный тип файлов вы “упрощаете” жизнь вашему NGFW на 46% (с точки зрения проверки файлов). Нужно всего лишь добавить одно правило:

Зачем проверять то, что вам заведомо не нужно и надеяться, что при этом не облажается ваш антивирус или песочница?

Если вы используете другое решение (не Check Point), то возможно там нет такого функционала, как Content Awareness, однако, наверняка будет возможность блокировать различные типы файлов с помощью антивируса. Это более ресурсоемкий способ, но это лучше, чем ничего.

С остальными типами файлов не все так просто. Doc и Pdf наверняка нужны большинству и блокировать их не представляется возможным. Тоже самое касается остальных файлов (JS, Jar), если их заблокировать, то возникнут проблемы с отображением web-страниц. Единственный выход в этому случае — ОЧЕНЬ тщательно их проверять.

2) Включаем Deep Scan для наиболее опасных типов файлов

В 4 уроке “Check Point на максимум” я показывал, что с дефолтными настройками Антивирус показывает очень плохие результаты. И это справедливо абсолютно для всех вендоров. Почти у всех есть опция “быстрой” проверки и более “глубокой”. По дефолту конечно используется “быстрая”, с целью оптимизации. У Check Point опция “глубокой” проверки называется «deep scan» и включить ее можно для разных типов файлов. Первое, что может прийти в голову — включить ее для всех типов файлов (на текущий момент их около 90 типов файлов). И так можно сделать! Если у вас очень богатая компания. Потребуется весьма мощное железо для такого варианта. Можно найти компромисс — включить deep scan для наиболее опасных файлов:

Из статистики мы имеем следующие файлы: pdf, doc, javascript, jar. Но я бы, как минимум добавил еще: xls, zip, rar, 7zip, rtf, swf. Ну и конечно же нужно блокировать запароленные архивы.

Если у вас не Check Point, то проверьте возможность использования подобных опций. Это очень важно.

3) Включаем нужные IPS сигнатуры

Опять же, возвращаясь к курсу “Check Point на максимум”, в 6 уроке я показывал важность IPS для проверки файлов. IPS может находить эксплойты в документах! Самые большие мучения с IPS — выбрать нужные вам сигнатуры. Там же я показал несколько трюков по работе с ними (а точнее с категориями). Но теперь у нас есть дополнительная информация. Нам обязательно нужны сигнатуры связанные с такими файлами как pdf, doc, javascript и jar. Сделать это довольно просто, достаточно воспользоваться поиском по сигнатурам:

(В случае с pdf, не забывайте, что могут быть и другие “просмоторщики”, например Foxit).
Или опять же, с помощью категорий в фильтрах:

Теперь мы будем проверять приходящие файлы не только с помощью Антивируса, но и с помощью IPS.

Если вы используете не Check Point, то попробуйте также включить релевантные сигнатуры (все что касается офисных документов, архивов, javascript и jar).

4) Threat Emulation и Threat Extraction

Антивирус и IPS это хорошо, но это сигнатурный анализ, главный недостаток которого — работает только с известными угрозами. Что делать с неизвестными (0-day)? Для этого и придумали “песочницы”. У Check Point данная технология называется SandBlast и реализуется с помощью таких блейдов как:

Threat Emulation — эмуляция файлов. На текущий момент поддерживается более 65 типов файлов. Обязательно включите эмуляцию для выше озвученного списка (pdf, doc, javascript и jar) плюс мои рекомендации (xls, zip, rar, 7zip, rtf, swf):

Threat Emulation позволит проверять файлы перед тем, как они будут скачаны. Это очень важная особенность, т.к. далеко не каждое решение может работать в режиме Prevent для web-трафика.

Threat Extraction — очистка активного содержимого. Очистка может быть выполнена с помощью конвертации файла в pdf, либо “вырезанием” всего активного содержимого (скрипты, макросы, url и т.д.). На текущий момент Threat Extraction поддерживает около 45 видов файлов. А плюсах использования этого блейда я рассказывал в 3 части курса Check Point SandBlast. Посмотрите, там есть демонстрация работы. Очень желательно использовать Threat Extraction для очистки pdf и doc. Причем лучше всего выбирать “конвертацию в pdf”, это “100 пудовый” метод. С xls это не всегда прокатывает, т.к. может сильно пострадать документ, поэтому используйте кастомизированную политику для Threat Extraction.

К сожалению на текущий момент Threat Extraction для Web-трафика работает только при использовании специального браузерного расширения — SandBlast Agent for Browsers. Однако уже в следующем релизе (Gaia R80.30) станет возможна очистка и конвертация файлов даже без дополнительных расширений.

Если вы используете не Check Point, то я также рекомендую опробовать функционал песочниц. Практически у всех вендоров есть триальный режим. Почти уверен, что после включения ваш “catch rate” значительно повысится.

Усиливаем защиту от вредоносных Email

C web-трафиком более менее разобрались (хотя на самом деле все сложнее). Теперь перейдем к еще одному популярном вектору атак — Email. Практически во всех компаниях защите почты уделяется наибольшее внимание. Посмотрим, что мы можем сделать с помощью NGFW решения на периметре сети.

1) Режим MTA

Первое, что вы должны сделать — переключить шлюз Check Point в режим MTA (Mail Transfer Agent). Это позволит осуществлять более комплексную проверку почтовых сообщений, особенно если используется SMTPS (в данном случае без функции MTA ваш шлюз просто не сможет осуществлять проверку этого трафика).

Если вы используете не Check Point и ваш NGFW не поддерживает MTA, то читать статью дальше — нет смысла. Вы просто не сможете осуществлять дополнительные проверки. Скорее всего в этом случае у вас используется отдельное решение по защите почты.

2) Обновиться до R80.20

Это еще один важный пункт. В релизе Gaia R80.20 функционал MTA (и не только) претерпел значительные изменения. Это также касается отчетности по почтовым сообщениям. По умолчанию доступно сразу несколько новых дашбордов:

Больше не придется лезть в командную строку для мониторинга и траблшутинга. Кроме того, начиная с версии R80.20 функционал MTA вынесен в отдельную вкладку в настройках профиля Threat Prevention:

Наиболее важные моменты:

3. Сделайте для MTA отдельное правило Threat Prevention

Еще один важный момент. Для Web-трафика и для Email должны быть разные профили. Правило должно выглядеть следующим образом:

Если вы используете R80.20, то данное правило создается автоматически при включении MTA.

4. Antivirus для Email

Как было сказано выше, в 80.20 у нас есть возможность использовать антивирусный “движок” для проверки вложений и гиперссылок. Это отлично коррелируется с нашими потребностями. Если посмотреть на статистику в самом начале, то можно увидеть, что кроме классических документов, угрозу представляют exe файлы и url.

Первым делом нужно заблокировать абсолютно все ненужные типы файлов, которые могут прислать в виде вложений (не только exe). Проще сказать, что стоит оставить: pdf, doc, xls, ppt. zip, rar, 7zip и другие популярные форматы офисных файлов. А вот различные скрипты, линуксовые архивы, исполняемые файлы следует блокировать.
Также не забывайте про проверку url в содержимом письма:

Для всех типов файлов, которые мы разрешаем, естественно необходимо настроить deep scan.

5. Threat Emulation и Threat Extraction

Почта — главный вектор для таргетированных атак, т.е. атак, к которым готовятся. Чаще всего именно в таких атаках используют уязвимости нулевого дня (0-day). И здесь сигнатурный анализ бессилен. Поэтому если вы решили использовать решения класса “песочница”, то email это первое место, где вы должны применить его. Для всех разрешенных (в антивирусе) файлов мы должны использовать функционал песочниц. Это касается не только решений Check Point.

С точки зрения настройки Threat Emulation для Email все идентично, как и для Web. Просто убедитесь, что вы включили эмуляцию для всех файлов, которые разрешены (антивирусом). Опять же, если посмотреть нашу статистику, то наиболее опасные типы файлов это doc, pdf, rtf, xls.
Кроме того, обязательно используйте Threat Extraction для очистки активного содержимого.

При этом для таких документов как pdf и doc обязательно настройте конвертацию в pdf. В этом случае вам не придется надеяться на Threat Emulation. Тем более, что при положительном вердикте, пользователь сможет скачать оригинальный файл (в 95% случаев оригинал никому не нужен).

Общие рекомендации

Главный принцип защиты периметра сети — максимально уменьшить площадь атаки. Для этого у нас есть большой набор механизмов:

Дополнительные материалы

Если вас заинтересовала данная тема, то как минимум рекомендуются следующие ресурсы:

В скором времени мы планируем запустить небольшой курс, с демонстрацией всего этого функционала. Поэтому следите за обновлениями! (vk, telegram).

Источник