Cisco TCC co w praktyce oznacza SDN?

Transkrypt

1 Cisco TCC co w praktyce oznacza SDN? Łukasz Bromirski lbromirski@cisco.com CONFidence, maj 2007 Kraków 2006 Cisco Systems, Inc. All rights reserved. 1

2 Agenda (nie)bezpieczeństwo sieci (?) Cisco Self Defending Network - ekosystem bezpieczeństwa Pytania i odpowiedzi 2006 Cisco Systems, Inc. All rights reserved. 2

3 (nie)bezpieczeństwo sieci (?) 2006 Cisco Systems, Inc. All rights reserved. 3

4 Strategia Cisco: Self-Defending Network An initiative to dramatically Strategia Cisco stałego improve the network s ability to adoptowania identify, prevent, się and i wyprzedzania adapt to threats zagrożeń ZINTEGROWANE BEZPIECZEŃSTWO WSPÓŁPRACA SYSTEMÓW BEZPIECZEŃSTWA ADAPTACYJNA OCHRONA PRZED ZAGROŻENIAMI 2006 Cisco Systems, Inc. All rights reserved. 4

5 Ekonomia zagrożeń: dzisiaj Script Twórcy kiddies Pośrednicy Włamywacze Wartość końcowa Autorzy narzędzi Ataki bezpośrednie Kompromitacja hosta lub aplikacji Sława Kradzież Autorzy malware Robaki Wirusy Trojany Spyware Zdobywanie maszyn Zdobywanie informacji Nadużycie poziomu przywilejów Tworzenie Botnetów Zarządzanie botnetami: wynajem, sprzedaż, użycie Informacje osobiste Broker informacji Wyciek elektroniczny IP DDoS do wynajęcia Spamer Phisher Pharmer/DNS Poisoning Kradzież tożsamości Szpiegostwo (przemysłowe/ państwowe) Wymuszenia Sprzedaż komercyjna Sprzedaż zmanipulowana Zarabianie na klikaniu Manipulacje finansowe $$$ Przepływ pieniędzy $$$ 2006 Cisco Systems, Inc. All rights reserved. 5

6 Cisco Self Defending Network stacji końcowych oddziałów brzegu CPD i szkieletu sieci serwerów Konfiguracja polityk bezpieczeństwa Monitoring, korelacja i odpowiedź Identyfikacja i zwalczanie ataków Internet Intranet Cisco Security Agent (CSA) Routery Cisco ISR Cisco ASA 5500 Adaptive Security Appliance Moduły serwisowe w Catalyst 6500 Sensory serii 4200 Serwery CSA Cisco Security Manager Zintegrowane usługi bezpieczeństwa rozproszone w całej sieci Współpraca mechanizmów bezpieczeństwa od stacji końcowych po systemy zarządzania i monitoringu Inteligencja osadzona w oprogramowaniu stacji końcowych CS-MARS Centralnie zarządzany i kontrolowany system bezpieczeństwa Cisco ICS 2006 Cisco Systems, Inc. All rights reserved. 6

7 Czym jest... Threat Control and Containment? Grupa technologii i rozwiązań, które tworzą system wczesnego ostrzegania, powiadamiania i porządkowania/ograniczania niechcianego ruchu Cele to: wykryć, powiadomić i zatrzymać zdarzenia, które mogą spowodować zagrożenie bezpieczeństwa sieci TCC to element Self-Defending Network 2006 Cisco Systems, Inc. All rights reserved. 7

8 Z czego składa się... System typu Threat Control and Containment? eciowych systemów IPS (NIPS) Adaptive Security Appliance (ASA) IPS Cisco IOS IPS Systemów IPS na hostach (HIPS) Cisco Security Agent (CSA) NetFlow Systemu blackholingu Systemu sinkholingu Syslog Systemów korelacji zdarzeń Monitoring, Analysis, and Response System (MARS) Systemy Anty-DDoS (Guard/TAD) trapów SNMP RMON...analizatora ruchu (pakietów) 2006 Cisco Systems, Inc. All rights reserved. 8

9 Z czego składa się Cisco Self- Defending Network 2006 Cisco Systems, Inc. All rights reserved. 9

10 Cisco Self Defending Network stacji końcowych oddziałów brzegu CPD i szkieletu sieci serwerów Konfiguracja polityk bezpieczeństwa Monitoring, korelacja i odpowiedź Identyfikacja i zwalczanie ataków Internet Intranet Cisco Security Agent (CSA) Routery Cisco ISR Cisco ASA 5500 Adaptive Security Appliance Moduły serwisowe w Catalyst 6500 Sensory serii 4200 Serwery CSA Cisco Security Manager CS-MARS Cisco ICS Stacje i serwery to naturalne cele ataku i potencjalne źródła ruchu szkodliwego w momencie ich przejęcia 2006 Cisco Systems, Inc. All rights reserved. 10

11 Cisco Security Agent 5.2 Koncepcja zaufanego QoS dla ruchu ze stacji Wpływanie na oznaczanie ruchu pod kątem polityk QoS: 2006 Cisco Systems, Inc. All rights reserved. 11

12 Cisco Security Agent 5.2 Kontrola interfejsów sieciowych Karty sieciowe pracujące jako trunk są rozróżnialne jako wiele interfejsów logicznych Pozwala to na separację ruchu Głosowego i Danych w wielu VLANach i zróżnicowanie polityki kontroli przez CSA Interfejsy wykorzystywane do dostępu domowego można wyróżnić 2006 Cisco Systems, Inc. All rights reserved. 12

13 Cisco Security Agent 5.2 Sukcesy i nagrody Infonetics: CSA jest na drugim miejscu pod względem popularności na rynku HIPS Gartner: CSA w ćwiartce Liderów Sprzedano ponad 3 miliony agentów od połowy 2003 roku 2006 Cisco Systems, Inc. All rights reserved. 14

14 Cisco Self Defending Network stacji końcowych oddziałów brzegu CPD i szkieletu sieci serwerów Konfiguracja polityk bezpieczeństwa Monitoring, korelacja i odpowiedź Identyfikacja i zwalczanie ataków Internet Intranet Cisco Security Agent (CSA) Routery Cisco ISR Cisco ASA 5500 Adaptive Security Appliance Moduły serwisowe w Catalyst 6500 Sensory serii 4200 Serwery CSA Cisco Security Manager CS-MARS Cisco ICS Brzeg sieci, najczęściej realizowane funkcje to: zaawansowany firewall, tunele VPN (IPsec i SSL), IPsec-aware VRF, QoS, CallManager Express, oraz IOS IPS i eksport próbek NetFlow (anomalie, zliczanie ruchu...) 2006 Cisco Systems, Inc. All rights reserved. 15

15 Nowość w IPS 6.0: Wykrywanie anomalii w czasie rzeczywistym Zintegrowane algorytmy badające anomalie w ruchu powstrzymujące ataki Day 0 Możliwość wykrycia i powstrzymania zagrożeń zanim wzorce sygnatur i ruchu zostaną opracowane i rozpowszechnione Rezultat: działająca 24/7/365 bez potrzeby ciągłego uaktualniania sygnatur Zone 1 Internet Zone 2 Zone 3 Graficzna reprezentacja ilości i typu ruchu 2006 Cisco Systems, Inc. All rights reserved. 16

16 Nowość w IPS 6.0: Ocena zagrożenia na podstawie wiedzy o hostach Informacja o podatnościach i słabościach systemów operacyjnych oraz konkretnych aplikacjach na podstawie Pasywnego rozpoznania systemu operacyjnego Statycznego mapowania systemu operacyjnego (wraz z możliwością obsługi wyjątków) Wartość wpływa na ogólny Wskaźnik Ryzyka (RR) dla zdarzenia Rezultat: Efektywniejsza reakcja na rekonesans/atak Konsola monitoringu: zdarzenia nieistotne są automatycznie odfiltrowanie Włamywacz rozpoczyna atak na serwery IIS Skaner sieciowy A Serwer Windows Podatny Zwiększ RR Serwer Linux Odporny Odfiltruj 2006 Cisco Systems, Inc. All rights reserved. 17

17 Nowość w IPS 6.0: Współpraca z CSA bezpieczeństwo end-to-end CSA może poinformować sondy IPS o podejrzanym zachowaniu konkretnych hostów Sensory IPS dynamicznie zwiększają wskaźnik RR dla ruchu pochodzącego z tych hostów Rezultat: Lepsze kontrola problematycznych hostów 1. Włamywacz atakuje jeden z serwerów 2. CSA blokuje atak i dodaje IP stacji do listy monitoringu 4. Przyszłe próby rekonesansu/ataku są blokowane już na brzegu sieci 3. Współpraca CSA z IPS v6 pozwala na dynamiczne zwiększenie wskaźnika RR dla ruchu pochodzącego z konkretnej listy adresów IP 2006 Cisco Systems, Inc. All rights reserved. 18

18 Nowość w IPS 6.0: Wirtualizacja sensora Elastyczna definicja kontekstów: w oparciu o grupy VLANów lub grupy interfejsów fizycznych Polityka, sygnatury i odpowiedź na zagrożenia jest specyficzna dla danego kontekstu Polityka sensorów wirtualnych bazuje na grupach VLANów Kontekst #1 VLAN 1 VLAN 2 VLAN 3 VLAN 4 Kontekst #2 Kontekst 1: Interface Kontekst 2: Interface Polityka sensorów wirtualnych bazuje na grupach interfejsów 2006 Cisco Systems, Inc. All rights reserved. 19

19 Cisco IPS w IOS Cisco IPS pracuje in-line Dostosowywalna ilość sygnatur w zależności od roli urządzenia, modelu i konkretnej sytuacji w sieci Cisco 1700/ /2800 Internet Cisco 7x00 Mały oddział Enterprise Service Provider Cisco 1700/1800 Farma serwerów edziba firmy Oddział Cisco 830 Pracownik zdalny Cisco 830 Małe biuro satelickie Cisco 2600/ /3800 Biuro regionalne 2006 Cisco Systems, Inc. All rights reserved. 20

20 Cisco IOS Firewall Zaawansowana kontrola aplikacji Dane Port 80 Jestem pakietem SMTP naprawdę! Dane Port 25 Jestem pakietem HTTP naprawdę! Farma serwerów Biuro firmy HTTP Inspection Engine Zapewnienie kontroli aplikacyjnej dla ruchu kierowanego na port 80 Spójność Cisco IOS Firewall i technologii Inline IPS Kontrolowania nadużyć związanych w przesyłaniem informacji z niektórych aplikacji wewnątrz ruchu HTTP Przykład: Instant messaging i aplikacje peerto-peer jak np. Kazaa Inspection Engine Kontrola nadużyć w protokołach SMTP, ESMTP, IMAP, POP inspection engines Inspection Engines Zapewniają także wykrywanie anomalii związanych z protokołami 2006 Cisco Systems, Inc. All rights reserved. 21

21 SSL VPN - WebVPN Tunel SSL VPN Internet Zdalny użytkownik Serwery Rozwiązanie zintegrowane: Cisco ISR, ASA, WebVPN Elastyczność: IPSec VPN, V 3 PN i SSL VPN jedno urządzenie może obsłużyć usługi bezpieczeństwa na wiele sposobów Rozwiązanie SSL VPN ze zintegrowanym bezpieczeństwem zapewnia możliwość stosowania polityk bezpieczeństwa dzięki usługom Firewall, IPS, AAA i QoS Sesje VPN bez konieczności instalacji klienta zapewnia maksymalną mobilność i brak wymagań w stosunku do zasobów Cisco Secure Desktop bezpieczne środowisko pracy w dowolnym środowisku Cisco SDM prosty GUI do zarządzania wszystkimi aspektami bezpieczeństwa 2006 Cisco Systems, Inc. All rights reserved. 22

22 Cisco NAC Możliwe scenariusze Host Kontrola Decyzja i zapobieganie LAN Serwer katalogowy ACS v4.0 WAN Serwer anty wirusowy Inne serwery Użytkownik mobilny Serwer ratunkowy 2006 Cisco Systems, Inc. All rights reserved. 23

23 Cisco Self Defending Network stacji końcowych oddziałów brzegu CPD i szkieletu sieci serwerów Konfiguracja polityk bezpieczeństwa Monitoring, korelacja i odpowiedź Identyfikacja i zwalczanie ataków Internet Intranet Cisco Security Agent (CSA) Routery Cisco ISR Cisco ASA 5500 Adaptive Security Appliance Moduły serwisowe w Catalyst 6500 Sensory serii 4200 Serwery CSA Cisco Security Manager CS-MARS Cisco ICS Brzeg sieci w centrali, najczęściej realizowane funkcje to: zaawansowany firewall, moduł CSC lub IPS, terminowanie tuneli IPsec/SSL 2006 Cisco Systems, Inc. All rights reserved. 24

24 Cisco ASA 5500 Adaptive Security Appliance Wiodąca platforma na rynku bezpieczeństwa Konwergentna ochrona przed zagrożeniami, Elastyczny zdalny dostęp, Minimalizacja kosztów operacyjnych, Unikalna architektura umozliwiająca adaptację do przyszłych zagrożeń Wiodący na rynku Firewall Integruje i rozszerza technologię znaną z linii PIX Security Appliance Oparta o 10-letnie doświadczenie i innowacje, ponad milion zainstalowanych urządzeń PIX w sieciach na całym świecie Zintegrowane usługi IPS Integruje i rozszerza najczęściej wdrażaną technologię IPS i IDS wykorzystywaną na platformach Cisco IPS 4200 Dostarcza kompletnej ochrony przed atakami i innymi zagrożeniami Wiodące na runku usługi VPN Rozszesza najczęściej wdrażaną technologię VPN znaną z koncentratorów Cisco VPN 3000 i firewalli PIX, oferując jednocześnie usługi IPSec i SSL VPN. Zintegrowane usługi Anti-X Integruje i rozszerza technologię zapewniającą bezpieczeństwo zawartości: ochronę przed wirusami, spyware, spamem, phishingiem i stronami zmniejszającymi produktywność pracowników 2006 Cisco Systems, Inc. All rights reserved. 25

25 Cisco ASA v8.0 co nowego? Dokładniejsza kontrola uprawnień w definicjach użytkowników Nowy portal połączeń WebVPN...obsługa nowego klienta AnyConnect (Vista, XP 64, Windows Mobile 5, Linux, Mac OS X) Ułatwiony transport plików drag & drop Rozszerzenie obsługi protokołów WWW, w tym wsparcie dla Flash a, SSH, RDP i VNC Zaawansowany mechanizm przekierowywania portów, nie wymagający uprawnień administratora na stacji z systemem Windows Obsługa protokołu EIGRP i PIM- SM 2006 Cisco Systems, Inc. All rights reserved. 26

26 Rodzina ASA 5500 Rozwiązania od rynku MŚP po duże firmy Rynek docelowy Wydajność Max Firewall Max Firewall + IPS Max IPSec VPN Max IPSec/SSL VPN Peers Cisco ASA 5505 Cisco ASA 5510 Cisco ASA 5520 Cisco ASA 5540 Cisco ASA 5550 Zdalni pracownicy/ Zdalne biura / Małe Firmy Małe Firmy centrala Średnie Firmy Średnie Firmy centrala Duże Firmy, centrala 150 Mbps W przyszłości 100 Mbps 25/ Mbps 300 Mbps 170 Mbps 250/ Mbps 375 Mbps 225 Mbps 750/ Mbps 450 Mbps 325 Mbps 5000/ Gbps N/A 425 Mbps 5000/ ,000/130,000 6, ,000 5 FE 50/100 A/A and A/S (Sec Plus) 280,000 9, ,000 4 GE + 1 FE 150 A/A and A/S 400,000 20, ,000 4 GE + 1 FE 200 A/A and A/S 650,000 28, ,000 8 GE + 1 FE 250 A/A and A/S Możliwości 10,000/25,000 Max połączeń Firewall 3,000 Max połączeń/sekundę 85,000 Pakietów/sekundę (64Bajty) 8-port FE switch Base I/O 3/20 (trunk) Wspieranych VLANów Stateless A/S Wysoka dostępność (Sec Plus) 2006 Cisco Systems, Inc. All rights reserved. 27

27 Cisco Self Defending Network stacji końcowych oddziałów brzegu CPD i szkieletu sieci serwerów Konfiguracja polityk bezpieczeństwa Monitoring, korelacja i odpowiedź Identyfikacja i zwalczanie ataków Internet Intranet Cisco Security Agent (CSA) Routery Cisco ISR Cisco ASA 5500 Adaptive Security Appliance Moduły serwisowe w Catalyst 6500 Sensory serii 4200 Serwery CSA Cisco Security Manager CS-MARS Cisco ICS Zarządzanie, monitoring i automatyczne uaktualnienia 2006 Cisco Systems, Inc. All rights reserved. 28

28 Cisco Security Manager Bogaty interfejs GUI Różne widoki w zależności od potrzeb Widok urządzeń Widok topologii Widok polityk Prosta konfiguracja połaczeń VPN Konfiguracja niezależna od fizycznego rozwiązania routerów, sond IDS/IPS itp. Topologia Polityka Urządzenia 2006 Cisco Systems, Inc. All rights reserved. 29

29 Koncepcja działania MARSa Dwie sesje (Każde zdanie = jedna sesja) Marka wynajęliśmy do włamania do budynku. Upewni się, że ochrona jest skuteczna. 1 incydent (cała historia) 12 zdarzeń (każde słowo = zdarzenie) Zdarzenia gołe informacje wysłane do CS-MARS przez urządzenia w sieci Sesje zdarzenia korelowane przez CS-MARS również przez urządzenia realizujące NAT Incydenty identyfikacja sesji przez reguły wykonujące korelację 2006 Cisco Systems, Inc. All rights reserved. 30

30 Tworzenie sesji Lab Kampus Brzeg sieci eć Building Building Distribution Nietypowy ruch (na podstawie nauczonych wzorców) Edge Distribution Jan Kowalski zainicjował dużo ruchu E-Commerce dostawców usług ISP B Management CS-MARS ACS Jan Kowalski CSM wykonał atak buffer overflow Server 7 6 Core Jan Kowalski wykonał atak buffer overflow 4 5 Nietypowy ruch (na podstawie nauczonych wzorców) 3 Nietypowy ruch (na podstawie nauczonych wzorców) Corporate Internet VPN and Remote Access WAN 2 1 ISP A PSTN Duża ilość pakietów IPsec Frame/ATM 2006 Cisco Systems, Inc. All rights reserved. 31

31 Wektor ataku 1 Graficzna reprezentacja przebiegu ataku 2 Event: ICMP Ping Network Sweep Event: WWW IIS.ida Indexing Service Overflow 3 Event: Built/Teardown/Permitted IP Connection 2006 Cisco Systems, Inc. All rights reserved. 32

32 Analiza ataku i odpowiedź HQ-NIDS-2 Cloud 40 HQ-WAN Edge Router MARS Demo3 HQ-SW-1 HQ-FW-2 Cloud 4 Cloud 2 HQ-WEB-1 HQ-SW-3 Cloud 39 HQ-FW-1 HQ-FW-3 HQ-SW-4 Cloud 42 Intruvert HQ-NIDS1 Cloud 5 CSA HQ Hub Router HQ-SW-2 BR2-NIDS-10 BR2-ISS-Host1 n /24 n /24 BR Head-End Router Cloud 14 Intruvert Sensor BR2-IQ-Router BR2-NIDS-2 Cloud 16 Entercept BR2-NIDS-3 Mgmt Cloud 27 BR2-NIDS-4 n /24 pix506 BR2-WAN- Edge-Router n /24 nssxt n /24 CP Module n /24 BR2-NIDS-1 ns25 BR2-NIDS- n /24 BR3-RW-1 BR2-NIDS-9 set port disable Informacje o sieci poznawane przez n /24 CS-MARS: topologia BR2-NIDS-8 access-list out Relacje deny tcp ruchowe host any Alarmy i błędy BR3-ISSHost1 Konfiguracja urządzeń shun tcp 2006 Cisco Systems, Inc. All rights reserved. 33

33 Wykrycie anomalii MARS, IPS i DTM...czyli Distributed Threat Mitigation Korelacja IPS MC Alarmy i informacje Agregacja i przetworzenie Zarządzanie CS-MARS DTM Aktywacja/dystrybucja sygnatur Zmiany w konfiguracji 2006 Cisco Systems, Inc. All rights reserved. 34

34 Przykłady wdrożeniowe Cisco TCC 2006 Cisco Systems, Inc. All rights reserved. 35

35 Brzeg z internetem... Kontrola dostępu i tożsamości: Firewalle, IPsec, SSL VPN, ACLki IPS MD5 CSA AVS DMZ Threat control and containment: NetFlow, Syslog, SNMP, NIPS, HIPS ASA ACLs Internet PIX NetFlow, Syslog, SNMPv3 IPS RFC2827 Bezpieczeństwo infrastruktury: AAA, CoPP, SSH, RFC2827, SNMP v3, IGP/EGP MD5 Bezpieczeństwo aplikacji: AVS, ACE Zarządzanie bezpieczeństwem: CSM, MARS 2006 Cisco Systems, Inc. All rights reserved. 36

36 eć lokalna Dostęp Dystrybucja Szkielet CSA NAC Appliance MD x /NAC L2 Security urpf ACLs FWSM IPSM NetFlow, Syslog, SNMPv3 Kontrola dostępu i tożsamości: 802.1x, NAC appliance, ACLki, firewalle Threat control and containment: NetFlow, Syslog, SNMP, MARS, NIPS, HIPS Bezpieczeństwo infrastruktury: AAA, CoPP, SSH, urpf, SNMP v3, IGP/EGP MD5, bezpieczeństwo w L2 Zarządzanie bezpieczeństwem: CSM, MARS 2006 Cisco Systems, Inc. All rights reserved. 37

37 Centrum Przetwarzania Danych Kontrola dostępu i tożsamości: Szkielet ACLki, firewalle Agregacja Dostęp MD5 AVS ACE urpf ACLs FWSM IPSM NetFlow, Syslog, SNMPv3 L2 Security Threat control and containment: NetFlow, Syslog, SNMP, MARS, NIPS, HIPS Bezpieczeństwo infrastruktury: AAA, CoPP, SSH, urpf, SNMP v3, IGP/EGP MD5, L2 security features Bezpieczeństwo aplikacji: AVS, ACE, Cisco Guard CSA Zarządzanie bezpieczeństwem: CSM, MARS 2006 Cisco Systems, Inc. All rights reserved. 38

38 Pytania? 2006 Cisco Systems, Inc. All rights reserved. 40

39 2006 Cisco Systems, Inc. All rights reserved. 41