Prezentuje: Seweryn Jodłowski CNSE 4.1

Transkrypt

1 Prezentuje: Seweryn Jodłowski CNSE 4.1

2 Palo Alto Networks is the Network Security Company World-class team with strong security and networking experience - Founded in 2005, first customer July 2007, top-tier investors Builds next-generation firewalls that identify / control 1,600+ applications - Restores the firewall as the core of enterprise network security infrastructure - Innovations: App-ID, User-ID, Content-ID Global momentum: 9,000+ customers - August 2011: Annual bookings run rate is over US$200 million*, cash-flow positive last five consecutive quarters A few of the many enterprises that have deployed more than $1M

3 The firewall is the right place to enforce policy control Sees all traffic Defines trust boundary Enables access via positive control BUT applications have changed Ports Applications IP Addresses Users Packets Content Applications Have Changed; Firewalls Have Not

4 Applications can be threats P2P file sharing, tunneling applications, anonymizers, media/video Applications carry threats Qualys Top 20 Vulnerabilities majority result in application-level threats Applications Carry Risk

5 Internet More stuff doesn t solve the problem Firewall helpers have limited view of traffic Complex and costly to buy and maintain Technology Sprawl & Creep Are Not The Answer

6 Next Generation Firewall Integrated IPS Application Control SSL Decryption User Identification

7 Identyfikacja ponad 1600 aplikacji, podzielonych na kategorie Definiowane własnych aplikacji Rozpoznawanie aplikacji za pomocą sygnatur i heurystyki ~ 5-10 nowych aplikacji tygodniowo

8 Korelacja adresów IP z użytkownikami aplikacji. Polityki Firewall operują na nazwach/grupach użytkowników. Incydenty przypisane do konkretnych użytkowników. Integracja z Active Directory - PAN Agent komunikuje się z kontrolerami domeny lub stacjami użytkowników. Obsługa Citrix i MS TS agent. Dla gości Captive Portal (Web i NTLM).

9 Wykrywanie i blokowanie ataków i złośliwego kodu, nielegalnego transferu plików oraz kontrolowanie wykorzystania usług Web Baza uniwersalnych sygnatur dla zabezpieczeń Intrusion Prevention, Anti-Virus, Anti-Spyware, itd. Web Filtering - baza URL dostarczana przez BrightCloud. Data Filtering - identyfikacja wrażliwych danych (m.in. SSN, CC#) dla różnych aplikacji na podstawie wyrażeń regularnych (regex). File Filtering - identyfikacja plików na podstawie typu MIME i nagłówka pliku.

10 Application Control as an Add-on Traffic Firewall Port IPS Port-based FW + App Ctrl (IPS) = two policies Applications are threats; only block what you expressly look for Applications Implications Port Policy Decision App Ctrl Policy Decision Network access decision is made with no information Cannot safely enable applications NGFW Application Control Application control is in the firewall = single policy Visibility across all ports, for all traffic, all the time Implications Network access decision is made based on application identity Safely enable application usage Traffic Firewall Applications App Ctrl Policy Decision Application IPS Scan Application for Threats Why Visibility & Control Must Be In The Firewall

11 Interfejs użytkownika Dedykowane graficzne narzędzia do wizualizacji ruchu - aplikacje, użytkownicy i zawartość Monitorowanie i raportowanie w czasie rzeczywistym Wgląd w aplikacje, użytkowników i zawartość Szczegółowa analiza działań użytkownika

12 Page 12

13 Palo Alto Networks PA-200

14 PA-200 Purpose-Built Architecture

15 PA-200 Key Specifications

16 PA-500 Key Specifications PA Mbps firewall throughput 100 Mbps threat prevention throughput 50 Mbps IPSec VPN throughput 250 IPSec VPN tunnels and tunnel interfaces 7,500 new sessions per second 64,000 max sessions (8) 10/100/1000 (1) 10/100/1000 out of band management interface (1) 1 RJ-45 console interface

17 Performance Roczne subskrypcje Threats prevention +20% URL filtering +20% Support +16% 10Gb 10Gb z XFPs Seria PA Gb 1Gb Seria PA-4000 i PA Mb 250Mb Odziały korporacji/ Średniej wielkości firmy Duże firmy

18 Elastyczność pracy zabezpieczeń Analiza / Monitorowanie Dodatkowa warstwa ochrony Główna warstwa ochrony Podłączenie do span port Zapewnia monitorowanie sieci i aplikacji bez wdrożenia in-line Transparentne wdrożenie zabezpieczeń Zapewnia monitorowanie i funkcje ochrony bez modyfikacji sieci Firewall tworzy strefy bezpieczeństwa w sieci Zapewnia monitorowanie oraz funkcje sieciowe i zabezpieczeń

19 Elastyczność pracy zabezpieczeń L2 VLAN 20 L2 VLAN 10 Vwire L3 DMZ L3 Internet Tap Core Switch Wiele trybów pracy - Tap Mode, Virtual Wire, Layer 2, Layer 3 z obsługą dynamicznego rutingu. Tryb prac zabezpieczeń dostosowany do potrzeb - w jednym urządzeniu interfejsy mogą działać w różnych trybach. Wirtualizacja zabezpieczeń - interfejsy VLAN dla warstwy 2 i 3, wirtualne rutery, wirtualne systemy.

20 FUNKCJE BEZPIECZEŃSTWA Firewall poziomu sieci i aplikacji Inspekcja ruchu SSL NAT (portów, adresów) Zarządzanie pasmem - DiffServ - QoS (8 kolejek per interfejs wyjściowy) Technologie ochrony - App-ID, User-ID, Content-ID Kontrola zawartości - Anty-Wirus - IPS i Anty-Spyware - Web Filtering - Data & File Filtering Transparentne uwierzytelnianie i kontrola użytkowników IPSec VPN - Route-based VPN (site-to-site) SSL VPN

21 Innowacje a Bezpieczeństwo

22 The Evolving Threat Landscape Hacktivism and Affiliates Low to medium sophistication, politically motivated sabotage and theft Examples: Anonymous, LulzSec, Pr0j3ct M4yh3m Organized Cybercrime Medium to high sophistication, large-scale theft of financial data, hack-for-profit Examples: Russian Business Network Nation-State Actors Highly sophisticated, persistent, and well funded intelligence gathering. Examples: Aurora, Titan Rain, Shady RAT, GhostNet

23 Server-Side Organized Cybercrime The systems are well protected by advanced mechanisms Medium (known to target high sophistication, of the attack) Client-Side - Credential stealing - Remote Control large-scale theft of financial data, hack-for-profit Examples: Russian Business Network

24 Time required to capture 1 st sample of malware in the wild Time required to create and verify malware signature Total Time Exposed Time before antivirus definitions are updated Days and weeks until users are protected by traditional signatures

25 Architektura systemu WildFire Compare to Known Files Sandbox Environment Signature Generator Unknown Files From the Internet Coming into the Enterprise Firewall Submits File to WildFire Cloud Admin Web Portal Results available in minutes. New Signatures Delivered to ALL Firewalls via regular threat updates.

26 Wildfire Portal - Reports

27 Analiza Malware

28 Architektura systemu WildFire WildFire Analysis Center Sandbox-based analysis looks for over 80 malicious behaviors Generates detailed forensics report Creates antivirus and C&C signatures Policy-based forwarding to WildFire for analysis Protection delivered to all customer firewalls Potentially malicious files from Internet 28

29

30 Attack Drive-by download Targeted malicious sent to user Signature Detection Malicious website exploits client-side vulnerability URL Filtering User clicks on link to a malicious website IPS Behavioral Analysis Drive-by download of malicious payload

31 An Integrated Approach to Threat Prevention

32 To have a chance to protect users GLOBAL PROTECT your users

33 Users always remain logically connected to the network and network policy Policies are consistent with existing network security policies Tight integration of user, application, and content in policy Simple to purchase, deploy, and manage GLOBAL PROTECT your users

34 Podsumujmy

35 New Requirements for the Firewall 1. Identify applications regardless of port, protocol, evasive tactic or SSL 2. Identify users regardless of IP address 3. Protect in real-time against threats embedded across applications 4. Fine-grained visibility and policy control over application access / functionality 5. Multi-gigabit, in-line deployment with no performance degradation The Right Answer: Make the Firewall Do Its Job

36 Dziękuję Wykorzystane w prezentacji materiały są własnością Palo Alto Networks.