SlideShare a Scribd company logo
г. Новосибирск
02 июня 2016#CODEIB
Сергей Чекрыгин
Check Point
На один шаг ВПЕРЕДИ
EMAIL schekrygin@checkpoint.com
Традиционный подход
Антивирус
Фильтрация по URL
IPS, СОВ
Анти-бот
Контроль приложений
Атаки
Бот-сети
Опасные приложения
Вредоносный сайт
Вирус
Больше безопасности
в одном устройстве
Межсетевой экран & VPN
Система предотвращения вторжений
Контроль приложений
Интеграция с AD
Фильтрация по URL
Антивирус
Антибот
Сетевой DLP
Модели
4000
Малые офисы
 3До Гб/c ,МЭ от $600
Корпоративные шлюзы
До 6 Гб/c IPS
Центры обработки данных
До 110 Гб/C МЭ
Высокая доступность и легкое
обслуживание
15000
23000
41000
61000
1100
Платформа для телеком
Мастшабируемость
Балансировка нагрузки
2200
стало известным?
о делать,
обы неизвестное
теллектуальное
аимодействие
Исследование
кода
CHECK POINT
Мы защищаем
будущее
Мы не сможем
решить проблему,
думая также, как когда
мы создали её
Альберт Эйнштейн
еизвестные угрозы
не могут быть пойманы
традиционными технологиями ИБ
Песочница
Способ работы с тем,
что мы не знаем:
Как работает Песочница
• Системный
реестр
• Сетевые
соединения
• Файловая
активность
• Процессы
Например:
•Другая версия ОС или SP
•Тестирование на виртуальную машину
•Задержка в атаке
Вирус может скрыться
от Песочницы
Как работает
Любой вирус
Способ проникновения
вируса
Уязвимость
Уязвимость Проникновение
Код пользуется уязвимостью
для изменения поведения системы
Способ проникновения
вируса
Уязвимость Проникновение Shellcode
Вредоносный код загружается
и получает права доступа
Способ проникновения
вируса
Shellcode Вирус
Код начинает
вредоносные
действия
Способ проникновения
вируса
Уязвимость Проникновение
Shellcode
Уровень
команд
процессора
Уровень
ОС
Способ проникновения
вируса
ВирусУязвимость Проникновение
Проверка на место
возврата
A
B C D E F21
3
45
6 Проверка возврата
управления в код
на место вызова
в командах
процессора
для поиска
подозрительного
кода
Песочница с защитой от угроз на уровне процессора
•Обнаруживает атаки до заражения
•Увеличивает шансы поймать вирус
•Не зависит от ОС
•Устойчива к техникам обхода песочниц
Можно ли избежать всех
неизвестных угроз?
Технология THREAT EXTRACTION
Пересоздание документа для исключения
активного содержимого
Threat Extraction
[Restricted] ONLY for designated
groups and individuals​
Представляем
AG ENT
SandBlast
CHECK POINT
Предотвращение угроз на ПК
Незащищенные векторы атаки
Работа вне
офиса
M2M внутри
периметра
Внешние
носители
SANDBLAST Агент
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
[Restricted] ONLY for designated groups and
Threat Extraction & песочница для
ПК
•Доставляет безопасные файлы
•Проверяет исходные файлы
•Защищает скачивания из интернета и
копирования с внешних носителей
SANDBLAST
Расширение для
браузера
При скачивании из интернета
Мониторинг файловой
системы
для копируемых файлов
Как работает защита от
направленных атак
Мгновенная защита при загрузке из сети
Доставка безопасного файла
Конвертация PDF для защиты
или безопасная версия исходного файла
Самостоятельно, без помощи
службы поддержки
Доступ к исходному файлу
после проверки документа
SANDBLAST Агент
-Анти бот
для рабочих станций и карантин
•Обнаруживает и блокирует общение с
командным центром
•Указывает на зараженный файл
•Изолирует зараженную рабочую станцию
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция

 Блокируем зараженнуюБлокируем зараженную
станциюстанцию
 Предотвращаем потериПредотвращаем потери
• Блокируем управляющий каналБлокируем управляющий канал
• Предотвращаем утечку данныхПредотвращаем утечку данных
Sandblast Агент: Анти-бот
Для рабочих станций
 ОпределемОпределем
зараженные станциизараженные станции
• Внутри и вне периметраВнутри и вне периметра
• Изолируем работуИзолируем работу
внутри периметравнутри периметра
 Определяет управляющий каналОпределяет управляющий канал – знаем зараженную станцию– знаем зараженную станцию
 Блокирует управляющий каналБлокирует управляющий канал –– изолируем вирусизолируем вирус
Управление остановлено
Управляющий канал
Анти-бот
SANDBLAST Агент
[Restricted] ONLY for designated groups and
Автоматическое расследование и
ликвидация последствий
•Расследование – экономия времени и денег
•Учет сетевой активности
•Взаимодействие с антивирусом
•Восстановление и ликвидация последствий
Защита
от нацеленных атак
Сдерживание
инфекции
Реакция
 
[Restricted] ONLY for designated
groups and individuals​
Ответ на инцидент
предполагает понимание угрозы
Вопросы при расследовании:
1.Атака реальна?
2.Какие способы проникновения?
3.Какие данные были похищены?
4.Как ликвидировать последствия?
Анализ сетевой активности
SandBlast Agent Forensics
Обнаружение
бота
Обнаружение
бота
Блокировка управляющего
канала
Блокировка управляющего
канала
Зараженная
станция
Зараженная
станция
Командный центрКомандный центр
Изучение атакиИзучение атаки
Перехват
коммуникации
Процесс
связывается с
командным центром
Перехват
коммуникации
Процесс
связывается с
командным центром
Происхождение
атаки
Уязвимость в Chrome
Происхождение
атаки
Уязвимость в Chrome
От инцидента к
расследованию
Автоматический анализ
от начала атаки
От инцидента к
расследованию
Автоматический анализ
от начала атаки
Код для проникновения
Файл запущен в Chrome
Код для проникновения
Файл запущен в Chrome
Атака
отслеживается
при перезагузках
Атака
отслеживается
при перезагузках
Похищенные данные
Вирус обращался к документу
Запуск вируса
Вирус запустится
после загрузки
Запуск вируса
Вирус запустится
после загрузки
Скачивание
вируса
Вирус скачан и
установлен
Скачивание
вируса
Вирус скачан и
установлен
Активация вируса
Запланирована задача
после загрузки
Активация вируса
Запланирована задача
после загрузки
Что обычно делают после взлома?
Традиционное
расследование
Традиционное
расследование
Надежда на
карантин
антивируса
Надежда на
карантин
антивируса
Восстановление
из образа
Восстановление
из образа
• Работает только для известных угроз
• Антивирус пропустит всё, что было до
обнаружения вируса
• Данные могут быть похищены до обнаружения
• Работает только для известных угроз
• Антивирус пропустит всё, что было до
обнаружения вируса
• Данные могут быть похищены до обнаружения
• Не возвращает похищенные данные
• Затратная и разрушительная процедура
• На защитит от повторной атаки
• Не возвращает похищенные данные
• Затратная и разрушительная процедура
• На защитит от повторной атаки
• Расследование требует времени
• Расследование требует редкой квалификации
• Слишком дорого для каждого инцидента
• Расследование требует времени
• Расследование требует редкой квалификации
• Слишком дорого для каждого инцидента
Обычный подход после инцидента:
Подозрительн
ая активность
Детали
Степень
опасности
Вопрос 1: Это реальная атака?
Понимание инцидента
Мгновенный ответ
На важные вопросы
Понимание инцидентаВыводы
Детал
и
Вопрос 2: Какие способы
проникновения?
Утерянные
файлы
Вопрос 3: Каков ущерб? Что похищено?
Понимание инцидента
От понимания к действиям
Генерация
скрипта для
восстановлени
я
Вопрос 4: Как ликвидировать
последствия? Как восстановиться?
Взгляд на этапы атаки
Интерактивный отчет
•Вся атаки на одном экране
•Отслеживание всех элементов
•Обзор всех перезагрузок
•Детали по каждому элементу
Интерактивный отчет
•Вся атаки на одном экране
•Отслеживание всех элементов
•Обзор всех перезагрузок
•Детали по каждому элементу
SANDBLAST Агент
[Restricted] ONLY for designated groups and
Сдерживание
инфекции
Защита
от нацеленных атак

Реакция

Единственное решение с автоматическим
анализом инцидентов и скриптом для
восстановления
SANDBLASTSANDBLAST АгентАгент
Другие продукты собирают
данные для анализа
SandBlast Агент анализируетанализирует
Демонстрация и пилотирование
Отчет Security Checkup – проверка трафика в сети заказчика, бесплатно и конфиденциально.
•Выявляение опасных приложений,
•доступ к опасным сайтам,
•коммуникации бот-сетей,
•вирусные атаки,
•утечка данных,
•IPS атаки,
•объяснение
выявленных угроз,
•рекомендации
по устранению
Обратить к партнеру
для заказа услуги
CHECK POINT
Мы защищаем
будущее
Сергей Чекрыгин
schekrygin@checkpoint.com

More Related Content

PPS
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PPS
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PPS
Check Piont. Чекрыгин Сергей. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
CheckPoint. Сергей Чекрыгин. "Check Pont. На шаг впереди"
PPTX
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Piont. Чекрыгин Сергей. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
CheckPoint. Сергей Чекрыгин. "Check Pont. На шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"

What's hot (20)

PDF
Адаптивная модель кибербезопасности для цифрового предприятия
PDF
FireEye - система защиты от целенаправленных атак
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Доктор Веб. Дмитрий Иванов. "Как избавиться от шифровальщиков"
PDF
Охота на угрозы на BIS summit 2016
PDF
Тенденции кибербезопасности
PDF
Киберугрозы будущего
PPT
Penetration testing (AS IS)
PDF
Можно ли обмануть DLP
PDF
Eset. Дмитрий Самойленко. "Eset. Антивирусная защита для вашего бизнеса"
PDF
Практика обнаружения атак, использующих легальные инструменты
PDF
Отчет Cisco по кибербезопасности за первое полугодие 2016 г.
PDF
Типовые атаки на корпоративную информационную систему (КИС)
PPTX
PT ESC - кто полечит доктора?
PDF
Опыт расследования инцидентов в коммерческих банках
PDF
Предисловие. Готовь сани летом: сложные угрозы, APT и целевые атаки – реальн...
PPT
Н.Романов (Trend micro) - Скрытые угрозы: можно ли тайное сделать явным?
PPTX
Этичный хакинг или пентестинг в действии
PPT
Вячеслав Медведев (Доктор Веб) "ИБ: типичные ошибки"
PDF
Доктор Веб. Вячеслав Медведев. "Как избавиться от шифровальщиков"
Адаптивная модель кибербезопасности для цифрового предприятия
FireEye - система защиты от целенаправленных атак
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Доктор Веб. Дмитрий Иванов. "Как избавиться от шифровальщиков"
Охота на угрозы на BIS summit 2016
Тенденции кибербезопасности
Киберугрозы будущего
Penetration testing (AS IS)
Можно ли обмануть DLP
Eset. Дмитрий Самойленко. "Eset. Антивирусная защита для вашего бизнеса"
Практика обнаружения атак, использующих легальные инструменты
Отчет Cisco по кибербезопасности за первое полугодие 2016 г.
Типовые атаки на корпоративную информационную систему (КИС)
PT ESC - кто полечит доктора?
Опыт расследования инцидентов в коммерческих банках
Предисловие. Готовь сани летом: сложные угрозы, APT и целевые атаки – реальн...
Н.Романов (Trend micro) - Скрытые угрозы: можно ли тайное сделать явным?
Этичный хакинг или пентестинг в действии
Вячеслав Медведев (Доктор Веб) "ИБ: типичные ошибки"
Доктор Веб. Вячеслав Медведев. "Как избавиться от шифровальщиков"
Ad

Viewers also liked (8)

PPS
Aflex Distribution. Сергей Кожевников. "Комплексная информационная безопаснос...
PDF
InfoWatch. Василий Радьков. "InfoWatch traffic monitor: Ловим злоумышленников...
PPS
Системы информационной безопасности. Руслан Пермяков. " Защита критически важ...
PPTX
Microsoft. Никита Трубецкой. "Облачные сервисы – головная боль для служб безо...
PPS
САИБ. Максим Прокопов. "Расследование внутренних инцидентов информационной бе...
PPS
Лаборатория Касперского. Александр Бондаренко. Киасофт. "Kaspersky Anti Targe...
PPS
SPSR Express. Мананников Дмитрий. "Оценка экономической эффективности информа...
PPS
RISSPA. Евгений Климов. "Тренды и угрозы ИБ"
Aflex Distribution. Сергей Кожевников. "Комплексная информационная безопаснос...
InfoWatch. Василий Радьков. "InfoWatch traffic monitor: Ловим злоумышленников...
Системы информационной безопасности. Руслан Пермяков. " Защита критически важ...
Microsoft. Никита Трубецкой. "Облачные сервисы – головная боль для служб безо...
САИБ. Максим Прокопов. "Расследование внутренних инцидентов информационной бе...
Лаборатория Касперского. Александр Бондаренко. Киасофт. "Kaspersky Anti Targe...
SPSR Express. Мананников Дмитрий. "Оценка экономической эффективности информа...
RISSPA. Евгений Климов. "Тренды и угрозы ИБ"
Ad

Similar to Check Point. Сергей Чекрыгин. "На один шаг впереди" (20)

PDF
Check Point. Сергей Чекрыгин. "Check Pont. На шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PPTX
Check Piont. Чекрыгин Сергей. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PPTX
CheckPoint Sandblast _Защита от угроз Нулевого дня
PDF
Check Point. Сергей Чекрыгин. "На один шаг впереди"
PDF
Check point, держи марку! Серия №7
PDF
Победа над кибер вымогательством!
PDF
Сергей Повышев. Практика киберучений — делимся опытом
PDF
Palo Alto Traps - тестирование на реальных семплах
PPTX
Тимур кабатаев (ARinteg) - Средства защиты от нестандартных целенаправленных ...
PDF
Будущее кибербезопасности
PDF
Check point держи марку! Серия №1
PPS
Астерит. Михаил Пузин. "Целевые атаки: разбор реального кейса"
PDF
Стратегический подход к противодействию современным угрозам
Check Point. Сергей Чекрыгин. "Check Pont. На шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Piont. Чекрыгин Сергей. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check Point. Сергей Чекрыгин. "На один шаг впереди"
CheckPoint Sandblast _Защита от угроз Нулевого дня
Check Point. Сергей Чекрыгин. "На один шаг впереди"
Check point, держи марку! Серия №7
Победа над кибер вымогательством!
Сергей Повышев. Практика киберучений — делимся опытом
Palo Alto Traps - тестирование на реальных семплах
Тимур кабатаев (ARinteg) - Средства защиты от нестандартных целенаправленных ...
Будущее кибербезопасности
Check point держи марку! Серия №1
Астерит. Михаил Пузин. "Целевые атаки: разбор реального кейса"
Стратегический подход к противодействию современным угрозам

More from Expolink (20)

PDF
Учебный центр "Информзащита". Андрей Степаненко. "Квалифицированный сотрудник...
PDF
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
PDF
S-Terra CSP. Сергей Слепков. "Универсальные криптомаршрутизаторы – эффективно...
PDF
НТЦ Вулкан. Сергей Жуковский. "Современные риски ИБ в Республике Крым"
PDF
Anti-Malware. Илья Шабанов. " Как контролировать системных администраторов и ...
PDF
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
PDF
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
PDF
Актив. Владимир Иванов. "Электронная подпись с точки зрения безопасности бизн...
PDF
S-Terra CSP. Андрей Шпаков. "Универсальные криптомаршрутизаторы – эффективно,...
PDF
SearchInform. Евгений Матюшенок. "Нестандартные методы применения DLP-систем ...
PDF
Anti-Malware. Илья Шабанов. "Глобальные тенденции рынка ИБ"
PDF
IBA Group. Александр Волков. "IDM: пример внедрения в Республике Беларусь"
PDF
Falcongaze. Антон Соловей. "DLP: зачем, почему и кому это нужно?"
PDF
Comparex. Алексей Калинников. "Практики внедрения систем защиты от утечек инф...
PDF
Актив. Кирилл Мещеряков. "Электронная подпись с точки зрения безопасности биз...
PDF
УБРиР. Михаил Цыкарев. "Корпоративная культура. Lifestyle поколения Z."
PDF
Лаборатория Касперского. Борис Шалопин. "Тренды, проблематика и стратегия про...
PDF
Администрация ГО Город Лесной. Игорь Синяев. "Тестирование комплексного решен...
PDF
Ростелеком. Ольга Макарова. "Информацинная безопасность в современных реалиях...
PDF
Group IB. Серегей Золотухин. "Киберразведка - новый инструмент для ТОП-менед...
Учебный центр "Информзащита". Андрей Степаненко. "Квалифицированный сотрудник...
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
S-Terra CSP. Сергей Слепков. "Универсальные криптомаршрутизаторы – эффективно...
НТЦ Вулкан. Сергей Жуковский. "Современные риски ИБ в Республике Крым"
Anti-Malware. Илья Шабанов. " Как контролировать системных администраторов и ...
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
Актив. Владимир Иванов. "Электронная подпись с точки зрения безопасности бизн...
S-Terra CSP. Андрей Шпаков. "Универсальные криптомаршрутизаторы – эффективно,...
SearchInform. Евгений Матюшенок. "Нестандартные методы применения DLP-систем ...
Anti-Malware. Илья Шабанов. "Глобальные тенденции рынка ИБ"
IBA Group. Александр Волков. "IDM: пример внедрения в Республике Беларусь"
Falcongaze. Антон Соловей. "DLP: зачем, почему и кому это нужно?"
Comparex. Алексей Калинников. "Практики внедрения систем защиты от утечек инф...
Актив. Кирилл Мещеряков. "Электронная подпись с точки зрения безопасности биз...
УБРиР. Михаил Цыкарев. "Корпоративная культура. Lifestyle поколения Z."
Лаборатория Касперского. Борис Шалопин. "Тренды, проблематика и стратегия про...
Администрация ГО Город Лесной. Игорь Синяев. "Тестирование комплексного решен...
Ростелеком. Ольга Макарова. "Информацинная безопасность в современных реалиях...
Group IB. Серегей Золотухин. "Киберразведка - новый инструмент для ТОП-менед...

Check Point. Сергей Чекрыгин. "На один шаг впереди"

  • 1. г. Новосибирск 02 июня 2016#CODEIB Сергей Чекрыгин Check Point На один шаг ВПЕРЕДИ EMAIL schekrygin@checkpoint.com
  • 2. Традиционный подход Антивирус Фильтрация по URL IPS, СОВ Анти-бот Контроль приложений Атаки Бот-сети Опасные приложения Вредоносный сайт Вирус
  • 3. Больше безопасности в одном устройстве Межсетевой экран & VPN Система предотвращения вторжений Контроль приложений Интеграция с AD Фильтрация по URL Антивирус Антибот Сетевой DLP
  • 4. Модели 4000 Малые офисы  3До Гб/c ,МЭ от $600 Корпоративные шлюзы До 6 Гб/c IPS Центры обработки данных До 110 Гб/C МЭ Высокая доступность и легкое обслуживание 15000 23000 41000 61000 1100 Платформа для телеком Мастшабируемость Балансировка нагрузки 2200
  • 8. Мы не сможем решить проблему, думая также, как когда мы создали её Альберт Эйнштейн
  • 9. еизвестные угрозы не могут быть пойманы традиционными технологиями ИБ
  • 10. Песочница Способ работы с тем, что мы не знаем:
  • 11. Как работает Песочница • Системный реестр • Сетевые соединения • Файловая активность • Процессы
  • 12. Например: •Другая версия ОС или SP •Тестирование на виртуальную машину •Задержка в атаке Вирус может скрыться от Песочницы
  • 15. Уязвимость Проникновение Код пользуется уязвимостью для изменения поведения системы Способ проникновения вируса
  • 16. Уязвимость Проникновение Shellcode Вредоносный код загружается и получает права доступа Способ проникновения вируса
  • 17. Shellcode Вирус Код начинает вредоносные действия Способ проникновения вируса Уязвимость Проникновение
  • 19. Проверка на место возврата A B C D E F21 3 45 6 Проверка возврата управления в код на место вызова в командах процессора для поиска подозрительного кода
  • 20. Песочница с защитой от угроз на уровне процессора •Обнаруживает атаки до заражения •Увеличивает шансы поймать вирус •Не зависит от ОС •Устойчива к техникам обхода песочниц
  • 21. Можно ли избежать всех неизвестных угроз?
  • 22. Технология THREAT EXTRACTION Пересоздание документа для исключения активного содержимого
  • 24. [Restricted] ONLY for designated groups and individuals​ Представляем AG ENT SandBlast CHECK POINT
  • 25. Предотвращение угроз на ПК Незащищенные векторы атаки Работа вне офиса M2M внутри периметра Внешние носители
  • 26. SANDBLAST Агент Защита от нацеленных атак Сдерживание инфекции Реакция [Restricted] ONLY for designated groups and Threat Extraction & песочница для ПК •Доставляет безопасные файлы •Проверяет исходные файлы •Защищает скачивания из интернета и копирования с внешних носителей
  • 27. SANDBLAST Расширение для браузера При скачивании из интернета Мониторинг файловой системы для копируемых файлов Как работает защита от направленных атак
  • 28. Мгновенная защита при загрузке из сети Доставка безопасного файла Конвертация PDF для защиты или безопасная версия исходного файла
  • 29. Самостоятельно, без помощи службы поддержки Доступ к исходному файлу после проверки документа
  • 30. SANDBLAST Агент -Анти бот для рабочих станций и карантин •Обнаруживает и блокирует общение с командным центром •Указывает на зараженный файл •Изолирует зараженную рабочую станцию Защита от нацеленных атак Сдерживание инфекции Реакция 
  • 31.  Блокируем зараженнуюБлокируем зараженную станциюстанцию  Предотвращаем потериПредотвращаем потери • Блокируем управляющий каналБлокируем управляющий канал • Предотвращаем утечку данныхПредотвращаем утечку данных Sandblast Агент: Анти-бот Для рабочих станций  ОпределемОпределем зараженные станциизараженные станции • Внутри и вне периметраВнутри и вне периметра • Изолируем работуИзолируем работу внутри периметравнутри периметра  Определяет управляющий каналОпределяет управляющий канал – знаем зараженную станцию– знаем зараженную станцию  Блокирует управляющий каналБлокирует управляющий канал –– изолируем вирусизолируем вирус Управление остановлено Управляющий канал Анти-бот
  • 32. SANDBLAST Агент [Restricted] ONLY for designated groups and Автоматическое расследование и ликвидация последствий •Расследование – экономия времени и денег •Учет сетевой активности •Взаимодействие с антивирусом •Восстановление и ликвидация последствий Защита от нацеленных атак Сдерживание инфекции Реакция  
  • 33. [Restricted] ONLY for designated groups and individuals​ Ответ на инцидент предполагает понимание угрозы Вопросы при расследовании: 1.Атака реальна? 2.Какие способы проникновения? 3.Какие данные были похищены? 4.Как ликвидировать последствия?
  • 34. Анализ сетевой активности SandBlast Agent Forensics Обнаружение бота Обнаружение бота Блокировка управляющего канала Блокировка управляющего канала Зараженная станция Зараженная станция Командный центрКомандный центр Изучение атакиИзучение атаки
  • 35. Перехват коммуникации Процесс связывается с командным центром Перехват коммуникации Процесс связывается с командным центром Происхождение атаки Уязвимость в Chrome Происхождение атаки Уязвимость в Chrome От инцидента к расследованию Автоматический анализ от начала атаки От инцидента к расследованию Автоматический анализ от начала атаки Код для проникновения Файл запущен в Chrome Код для проникновения Файл запущен в Chrome Атака отслеживается при перезагузках Атака отслеживается при перезагузках Похищенные данные Вирус обращался к документу Запуск вируса Вирус запустится после загрузки Запуск вируса Вирус запустится после загрузки Скачивание вируса Вирус скачан и установлен Скачивание вируса Вирус скачан и установлен Активация вируса Запланирована задача после загрузки Активация вируса Запланирована задача после загрузки
  • 36. Что обычно делают после взлома? Традиционное расследование Традиционное расследование Надежда на карантин антивируса Надежда на карантин антивируса Восстановление из образа Восстановление из образа • Работает только для известных угроз • Антивирус пропустит всё, что было до обнаружения вируса • Данные могут быть похищены до обнаружения • Работает только для известных угроз • Антивирус пропустит всё, что было до обнаружения вируса • Данные могут быть похищены до обнаружения • Не возвращает похищенные данные • Затратная и разрушительная процедура • На защитит от повторной атаки • Не возвращает похищенные данные • Затратная и разрушительная процедура • На защитит от повторной атаки • Расследование требует времени • Расследование требует редкой квалификации • Слишком дорого для каждого инцидента • Расследование требует времени • Расследование требует редкой квалификации • Слишком дорого для каждого инцидента Обычный подход после инцидента:
  • 37. Подозрительн ая активность Детали Степень опасности Вопрос 1: Это реальная атака? Понимание инцидента Мгновенный ответ На важные вопросы
  • 38. Понимание инцидентаВыводы Детал и Вопрос 2: Какие способы проникновения?
  • 39. Утерянные файлы Вопрос 3: Каков ущерб? Что похищено? Понимание инцидента
  • 40. От понимания к действиям Генерация скрипта для восстановлени я Вопрос 4: Как ликвидировать последствия? Как восстановиться?
  • 41. Взгляд на этапы атаки Интерактивный отчет •Вся атаки на одном экране •Отслеживание всех элементов •Обзор всех перезагрузок •Детали по каждому элементу Интерактивный отчет •Вся атаки на одном экране •Отслеживание всех элементов •Обзор всех перезагрузок •Детали по каждому элементу
  • 42. SANDBLAST Агент [Restricted] ONLY for designated groups and Сдерживание инфекции Защита от нацеленных атак  Реакция 
  • 43. Единственное решение с автоматическим анализом инцидентов и скриптом для восстановления SANDBLASTSANDBLAST АгентАгент Другие продукты собирают данные для анализа SandBlast Агент анализируетанализирует
  • 44. Демонстрация и пилотирование Отчет Security Checkup – проверка трафика в сети заказчика, бесплатно и конфиденциально. •Выявляение опасных приложений, •доступ к опасным сайтам, •коммуникации бот-сетей, •вирусные атаки, •утечка данных, •IPS атаки, •объяснение выявленных угроз, •рекомендации по устранению Обратить к партнеру для заказа услуги
  • 45. CHECK POINT Мы защищаем будущее Сергей Чекрыгин schekrygin@checkpoint.com

Editor's Notes

  • #3: This approach is important and needed as many of the attacks are still using known methods and malware
  • #11:   Current solution to fight zero day and unknown malware is sandboxing Sandbox is a powerful solution it is looking for malicious activities when the running malware
  • #15: Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
  • #16: Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
  • #17: Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
  • #18: Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
  • #19: Vulnerability- Trigger an attack through an unpatched or zero-day vulnerability Exploit- Bypass the chip and OS security controls using exploitation methods Shellcode- Activate an embedded payload to retrieve the malware Malware- Run malicious code
  • #27: We see 3 key things
  • #29: With today’s sophisticated watering hole, spear phishing, and drive by exploits, malicious content downloaded from the web is of particular concern. For this content, we provide a unique proactive approach to securing content, Threat Extraction.
  • #31: We see 3 key things
  • #33: We see 3 key things
  • #43: We see 3 key things