Warszawa, 9 października 2014r. Czy ochrona sieci jest nadal wyzwaniem, czy tylko jednorazową usługą? Grzegorz Długajczyk ING Bank Śląski
Które strony popełniały najwięcej naruszeń w ostatnich 10 latach? Źródło: http://www.verizonenterprise.com/dbir/2014/reports/rp_dbir-2014-executive-summary_en_xg.pdf
Agenda Wprowadzenie (ECAP) Najważniejsze zagrożenia Strategia ochrony
Wprowadzenie styk organizacji z siecią zewnętrzną ECAP jest jednym z najważniejszych punktów, łączący zasoby sieci wewnętrznej firmy ze światem zewnętrznym (sieć internet) INTERNET Sieć zewnętrzna ECAP Sieć wewnętrzna *ECAP External Connection Aggregation Point
Rola ECAP w organizacji Bezpieczeństwo Wydajność Skalowalność Niezawodność i wysoka dostępność
Bezpieczeństwo ECAP Główne zadania: Chronić przed zagrożeniami zewnętrznymi Zapewniać dostęp uwierzytelnionym użytkownikom do sieci wewnętrznej Udostępniać serwisy i usługi na zewnątrz
Architektura sieci - ECAP Untrusted DMZ-1 Sieć zarządzająca DMZ-n Semi-Trusted Sieć DC Sieć zarządzająca Sieć biurowa Trusted
Najważniejsze zagrożenia.oraz scenariusz ochrony
Rodzaje zagrożeń zewnętrznych (1) Mające źródło bezpośrednio ze styku sieci zewnętrznej DDoS Social attacks (APT) Malware & Botnet Cloud Computing BYOD Źródło: http://www.symantec.com/content/en/us/enterprise/other_resources/b-istr_main_report_v19_21291018.en-us.pdf
Rodzaje zagrożeń zewnętrznych (2) Wykorzystujące zaufane dostępy do wewnątrz organizacji Pracownicy Wsparcie /dostawcy/ Klienci firmy Partnerzy (Outsourcing)
Rodzaje zagrożeń zewnętrznych (3) Integrujące lub udostępniające systemy wewnętrzne na zewnątrz Moja firma inny system IT PARTNERA Usługa w internecie
Czym jest DDoS? DDoS (ang. Distributed Denial of Service) atak na system komputerowy lub usługę sieciową, przeprowadzany równocześnie z wielu komputerów lub miejsc w sieci internet.
Jak chronić infrastrukturę przed atakiem DDoS? TIER 3 TIER 2 TIER 1 Chmura publiczna (tzw. scrabbing ) Internet Service Provider Niezawodna infrastruktura IT Przekierowanie ruchu do chmury publicznej Wielu różnych operatorów Ochrona DDOS operatora Load balancer DDOS protector NO SPoF
Jak może wyglądać plan ataku wykorzystujący socjotechnikę? APT (ang. Advanced Persistent Threats) jest złożonymi długotrwałym i wielostopniowym działaniem kierowanym przeciwko konkretnym osobom, organizacjom lub firmom Wybór celu Analiza firmy Inżynieria społeczna Wyszukanie luk w systemach Kierunkowy atak
Jak chronić infrastrukturę przed atakiem typu APT? Wielopoziomowa ochrona techniczna: filtrowanie Internetu/analiza reputacji IP, białe listy/czarne listy, kontrola aplikacji w oparciu o użytkowników i urządzenia, DLP, IPS/IDS, realizacja funkcja sandbox, kontrola ruchu IN/OUT. Szkolenia pracowników Współpraca z dostawcą zabezpieczeń Segmentacja sieci Dwuskładnikowe uwierzytelnienie : organizacja utrudnia atakującemu wykorzystanie utraconych lub skradzionych danych uwierzytelniania Jasno określone zasady dla: BYOD, urządzeń mobilnych, korzystania z sieci WiFi, itd
Czym jest Malware & Botnet? Malware rodzaj złośliwego oprogramowania, zawierający wirusa lub oprogramowanie szpiegowskie (spyware), najczęściej powstały w celu realizacji niedozwolonych działań, bez wiedzy właściciela. Botnet grupa komputerów zainfekowanych złośliwym oprogramowaniem (malware), które daje swojemu zarządcy (Command&Control) określony (lub całkowity) poziom kontroli nad zainfekowanym komputerem ofiary.
Jak rozpoznać potencjalne zagrożenie? o Spowolnienie systemu o Pliki i foldery lub ikony pobranych programów znikają lub są modyfikowane o Dioda dysku pulsuje przy bezczynności o Serwisy bankowe zaczynają prosić o dane o Pojawia się więcej informacji o błędach o FW na stacji informuje, że nieznany program chce się komunikować z czymś na zewnątrz o Występują duże opóźnienia w dostępie do zasobów o Można zidentyfikować zwiększony wolumen ruchu
Jak można próbować się chronić? Blokować na urządzeniu brzegowym (ruch, porty, protokoły) + domain black list Dokonywać regularnych aktualizacji systemu Uruchamiać IPS/IDS Wdrożyć aplikacyjny content filtering (tylko do aplikacji, które są potrzebne) Zdefiniować polityki bezpieczeństwa Wdrożyć Anti-Bot Wdrożyć program security awareness
Cloud Computing na co zwrócić uwagę?
Zaufany dostęp do wewnątrz organizacji na co zwracać uwagę? Strona operacyjna Każdy zdalny dostęp powinien być: zidentyfikowany i utrzymywany w rejestrze potwierdzony przez właściciela monitorowany przez IT być zgodny z potrzebą biznesową (umowa) podlegać regularnym przeglądom (audyt) Strona techniczna Użytkownik: Typ urządzenia: Lokalizacja: Czas: Metoda dostępu: Zasób
Strategia ochrony
MONITOROWANIE ZARZĄDZANIE Model bezpieczeństwa styku z siecią zewnętrzną? ZABEZPIECZANIE POLITYKI AUDYT
Jak ING BANK dba o bezpieczeństwo? Foundation IT Sourcing User Access IT Resiliance Change Management Security Monitoring Platform Security
Co warto zapamiętać? Kiedyś: - w interesie hakera było pokazanie swoich umiejętności Obecnie: - w interesie hakera jest, aby przestępstwo NIGDY nie zostało wykryte
DZIĘKUJĘ Grzegorz Długajczyk ING Bank Śląski ul. Sokolska 34, 40-090 Katowice Grzegorz.Dlugajczyk@ingbank.pl