Kim jesteś kliencie Zbigniew Szmigiero

© 2013 IBM Corporation

Kim jesteś …?

Zbigniew Szmigiero, Customer Technical Professional – IBM Security Systems.

© 2013 IBM Corporation2

IPS

• Działają w oparciu o sygnatury i reguły do warstwy 4• Niewystarczające do identyfikacji APT, fraudów

wycieków danych• Podatne na ataki DDoS• False-Positive vs. False-Negative• Ciągle ważne ale trzeba czegoś więcej


NG IPS


Ochrona danych

• Identyfikacja danych wrażliwych (włączając migrację)• Monitorowanie dostępu do nich• Używanie szyfrowanie wszędzie gdzie to możliwe


Guardium 9.1

Integration with LDAP, IAM, SIEM, TSM, Remedy, …

Big Data Environments

DATA

InfoSphere BigInsight

s

CouchDB

GreenPlum

SAP HANAAmazon RDSCassandraHbase


Detekcja anomalii w DAM

Anomaly Hours are marked in Red or Yellow. Click on the bubble

navigates to the Outlier View


Szyfrowanie danych

APPLICATIONS

DATABASES

SAN

NASDAS

FILE SYSTEMS

VOLUME MANAGERS

HTTPS

Data Security Manager• FIPS Level 3 Key Management• Centralized, Automated Key Management• High Availability Cluster• Robust role separation

Encryption Expert Agent• File System or Volume Manager • Transparent and agnostic• Supports Linux, Unix, & Windows• Privileged User Control and Separation• Software-based encryption


Szyfrowanie danych

Name: J Smith

CCN:60115793892

Exp Date: 04/04

Bal: $5,145,789

SSN: 514-73-8970

Name: Jsmith.doc

Created: 6/4/99

Modified: 8/15/02

Clear Text

File DataFile Data

File SystemFile SystemMetadataMetadata

dfjdNk%(AmgdfjdNk%(Amg

8nGmwlNskd 9f8nGmwlNskd 9f

Nd&9Dm*NddNd&9Dm*Ndd

xIu2Ks0BKsjdxIu2Ks0BKsjd

Nac0&6mKcoSNac0&6mKcoS

qCio9M*sdopFqCio9M*sdopF

Name: Jsmith.docName: Jsmith.doc

Created: 6/4/99Created: 6/4/99

Modified: 8/15/02Modified: 8/15/02

MetaClear

Block-Level

fAiwD7nb$

Nkxchsu^j2

3nSJis*jmSL

dfjdNk%(Amg

8nGmwlNskd 9f

Nd&9Dm*Ndd

xIu2Ks0BKsjd

Nac0&6mKcoS

qCio9M*sdopF

• Protects Sensitive Information Without Disrupting Data Management• High-Performance Encryption• Root Access Control• Data Access as an Intended Privilege

File Data

File Data

File Data

File Data


Jakość kodu aplikacji

• Kto programuje Twoje aplikacje?• Jak sprawdzasz jakość kodu?• Jak kontroluje zmiany i poprawki?


Pełnowymiarowa analiza aplikacji - AppScan

BrowserBrowser

NativeNativeAppApp

Server Side App

SAST (source code)

DAST (web interfaces)

Client Side App

JavaScript / HTML5 hybrid analysis

Native AppAndroid

iOS

JavaScript

Static AnalysisStatic AnalysisStatic Analysis


Jak zarządzasz końcówkami?

• Zarządzanie zasobami• Łaty• Definicja ról i wymuszanie ich stosowania• Monitorowanie dostępu do danych (DLP)• Separacja oprogramowania złośliwego i jego

unieszkodliwianie


Pełny cykl życia końcówek - TEM

Windows/Mac Unix / LinuxWindows Mobile

KioskPOS

Android/iOS/Symbian/ Windows Phone

MDMSoftware Usage

OS deploymentRemote Control

Protection

Energy MngtPatch Mngt

InventoryCCM


Sites

LICENSE REMOTE

ASSET INSTALL MOBILE

Internet

SW Distrib

PATCH

Jak to działa?

Compliance

Security, DLP


Jak to działa?

Przypisanie

TEM SRVTEM Agent

Dane


Jak działa exploit?

Exploitation

FileSystem

Legitimate access

WWW

Vulnerability

External Content

Exploit

An exploit is a piece of software that uses an application vulnerability to cause unintended application behavior


Weryfikacja stanu aplikacji

Allow application action with a approved state

External Content

FileSystem

Legitimate Access

User initiated

App Update

Application State


Weryfikacja stanu aplikacji

Stop application actions with unknown state

FileSystem

ExploitUser Initiated

Application State

App Update

Trusteer Apex Stops

Execution


Evasion #1: Compromise

Application Process

Looks Like Legitimate

Communication

Evasion #2: Communicate

Over Legitimate Websites

Direct Communication is Highly Visible

Blokada komunikacji oprogramowania złośliwego

External Network

Information- stealing malware

Block suspicious executables that open malicious communication channels

2Exfiltration Prevention

1Exfiltration Prevention

Direct User Download

Pre-existing Infection


KeyLogging

Ochrona przed kradzieżą tożsamości (ATO)

PhishingUsing Corp

PWD on Public Sites

******

WWWWWWGrabbing credentials

from websites

*****

Grabbing credentials from users’

machine

Password Protection

KeystrokesObfuscation


Niekończąca się historia

WWW

Phishing and Malware Fraud

Advanced Threats

(Employees)

Online Banking

Wire, ACH, Internal Apps

Account Takeover, New Account Fraud

Mobile Fraud Risk



Global

Hundreds of Customers

100,000,000 Endpoints

Solutions

Financial Fraud Prevention

Advanced Threat Protection

Leader

Intelligence

Technology

Expertise

Leading Global Organizations Put Their TRUST In Us

7/10Top US Banks

9/10Top UK Banks

4/5Top Canadian

Banks

MajorEuropean Banks


Oprogramowanie złośliwe

TRX

WWW

Online Banking

4Prevents credential and data theft that enable ATO and cross-channel fraud

• Retail and Commercial• Scale to millions• No end user impact

1• Removes existing infection• Prevents new infection• Secures the browser

2• Alerts user on Phishing sites• Notifies bank for takedown

Trusteer Rapport

Kills the attack before it even startsKills the attack before it even starts


Eliminacja oprogramowania złośliwego

TRX

WWW

Online Banking

Malware-generated Fraudulent Transactions

Malware-generated Fraudulent Transactions

Credentials Theft via Malware and PhishingCredentials Theft via

Malware and Phishing

Trusteer RapportTrusteer Rapport

Trusteer PinpointMalware DetectionTrusteer Pinpoint

Malware Detection


Identyfikacja anomalii

Logi

n

Online Banking


Malware Detection

Monitor Account (Re-credential User)

3rd party risk engine

Restrict Web App

(add payee)

Remediate and Immune Customer

3

Trusteer Rapport

Out-of-Band Authentication

Trusteer Mobile OOB

Trusteer Pinpoint ATO,

Mobile Risk Engine


Kradzież tożsamości i ATO

LOG

INCredentials

Online Banking

Trusteer PinpointAccount Takeover (ATO) Detection


2


Malware Detection

1

LOG

IN

Complex Device Fingerprinting

Device Attributes•New Device•Spoofed Device •Criminal Device

User Attributes•Interaction Patterns•Geo Location•Time of Access

Account Compromise History

Phished Credentials

Malware Infections(stolen credentials)1

2

1 2+Access Denied


Phishing i ATO

LOG

INCredentials

Online Banking

Complex Device Fingerprinting

Device Attributes•New Device•Spoofed Device •Criminal Device

User Attributes•Interaction Patterns•Geo Location•Time of Access


Phished Credentials

Malware Infections(stolen credentials)

1

2

1 2+Access Denied

Phishing Site

Office Home




2

1


Kradzież tożsamości

Online Banking

New Account Creation

PII DataTheft

2

1 2/

Tag as Fraudster


Malware Detection

1 Trusteer PinpointAccount Takeover (ATO) Detection


Account and Device Risk

Credential PII/Theft via Malware or Phishing

Same Device -> Multiple Trusteer-protected FIs

Same Device -> Multiple Accounts, Single FI

1

2



Niezależny kanał uwierzytelnienia

Access DeniedAccess Denied

LOG

IN

Online Banking

Trusteer PinpointATO Detection +

OOB Service

Trusteer PinpointATO Detection +

OOB Service

ATO Risk DetectedATO Risk Detected

Trusteer Mobile APP

Secure OOB Access Authorization:Approve access via registered device

SMS or Data


ATO i Fraud Mobilny

Online Banking

Credentials

Restrict AccessRestrict Access

CredentialsTheft


Malware Detection

LOG

IN Trusteer Mobile Risk Engine

Trusteer Mobile Risk EngineAp

p Lo

gin

Mobile Device Risk Factors

Device Attributes•Jailbroken / Rooted Device•Malware Infection•New device ID•Unpatched OS•Unsecure Wi-Fi connection•Rogue App


Phished Credentials

Malware Infections, Phishing Incident(stolen credentials)1 2

The Bank’s Mobile Banking App

The Bank’s Mobile Banking App

Trusteer Mobile SDK

Trusteer Mobile SDK



Co dalej? czy Gdzie zacząć?

• Wiele rozwiązań, konsole, mnóstwo danych, ograniczone zasoby

• SIEM – platforma integracji zdarzeń związanych z bezpieczeństwem

• Ile incydentów generuje SIEM?• Incydent kontra Ryzyko• QRadar – Platfoma analizy ryzyka (NG SIEM)


QRadar


„Nigdy nie lataj samolotami projektowanymi przez optymistów.”

Służy radą pozytywnie pesymistyczny zespółIBM Security Systems

Kim jesteś kliencie Zbigniew Szmigiero

Technology

Transcript of Kim jesteś kliencie Zbigniew Szmigiero