P e r He l l q v i s t. S e n i o r S e c u r i t y S p e c i a l i s t No r d i c & B a l t i c r e g i o n

Transkript

1

2 P e r He l l q v i s t S e n i o r S e c u r i t y S p e c i a l i s t No r d i c & B a l t i c r e g i o n

3 Rädd? Me d v e t e n?

4 ETT BROTT BEGÅS...

5 VAR 15e MI NUT I P A RI S.

6 VAR 3½ MI NUT I NE W Y ORK

7 VAR 2½ MI NUT I T OK Y O.

8 V A RA NNA N MI NUT I B E RL I N.

9 VAR 3 e SEKUND PÅ WE B B E N.

10 på

11 på

12 1 300 på

13 1 31 på

14 1 5 av KOMMER RÅKA UT FÖR NÄTBROTTSLIGHET

15 VI ÄR FÖRVÅNANSVÄRT OME DV E T NA

16 E l a k k o d s p r u t a r ut

17 Nya virussignaturer År st per dag År st per dag!

18 Un d e r 2008 s k a p a d e s 60% av ALLA våra s i g n a t u r e r ( 1, 656, 227 st n y a ) Över 90% försöker stjäla k o n f i d e n t i e l l i n f o r ma t i o n 245 mi l j o n e r infektionsförsök varje månad Preliminärt 2, 9 mi l j o n e r under 2009

19 Spear phishing Extremt riktade attacker Företag, organisationer, besökare till webbplatser, itavdelningen Attackeraren har läst på Mejlen ser ut att komma från kollegor eller kontakter Garden sänks ännu mer Doc, xls, pdf vanliga format Preparerade med trojaner Din information är värdefull

20 Aurora

21 Aurora?

22 Aurora Riktad attack mot +30 stora företag Utnyttjade en nolldagars mot IE 6 Samma hål finns i IE 6, 7, 8 Installerade Trojan.Hydraq Syfte: Informationsstöld

23 Aurora

24 Aurora

25 Aurora Lura ett offer, gärna på ett lokalkontor, att besöka en elak sajt Sajten utnyttjar en sårbarhet i webbläsaren för att infektera offret Trojanen ringer hem till en C&Cserver, oftast med en dynamisk DNS adress

26 Aurora Elakingen utökar sina rättigheter mha cachade eller lokala admin-rättigheter Försök görs att komma åt en AD-server för att stjäla lösenordsdatabasen Mha stulna rättigheter skaffas VPNaccess, alternativs skapas en falsk användare i VPN-servern

27 Aurora Sen skiljer sig attackerna beroende på offer: Via admin-rättigheter komma åt produktionssystem Komma åt källkod Stjäla data/ip

28 Hur skydda sig? Logga och kontrollera DNS-trafik Övervaka och kontrollera speciellt dynamisk DNS Kontrollera enheter som ofta gör skumma förfrågningar, speciellt mot dynamiska DNS namn

29 Hur skydda sig? Övervaka den interna nätverkstrafiken Installera en IDS Installera en webb-proxy Gör DNS uppslagningar här

30 Hur skydda sig? Aggregera minst dessa loggar Eventloggar, domänkontrollanter, SSH/UNIX-logins, lokala DNS uppslagningar, IDS, webb proxies, webbaccessloggar från intranät och applikationer

31 Hur skydda sig? Utöka kontrollen av VPN (Bevisligen arbetade elakingarna med offrens egna VPN-lösningar)

32 Hur skydda sig? Utöka skyddet på klienterna Ifrågasätt admin-rättigheter Inför SAM - Patcha allt Ofta Fundera på vitlistning Köp Symantec Endpoint Protection ;-)

33 Långsiktigt: Sätt ihop en SOC Öka säkerheten på lokalkontor Hitta och övervaka känslig data (DLP) Säkra upp AD

34 Läxor från Aurora Klienter står i fokus Säkra det interna nätverket Endast antivirus fungerar inte Patchning täpper inte till 0-dagars Övervaka trafiken

35 Läskigast:

36 Omg...

37 PDF är osäkert

38 Jordbävningen i Chile

39 HELA IDENTITETER: 400 KREDITKORT: 0.40 Source: Symantec, 2009

40 VANLIG IT-TEKNIKER ROCK STAR CYBERSKURK 5 miljoner Source: FBI

41 DE FÖRSTÖR INTE DE FÖRSTÖR LIV. DATORER.

42 DU, DIN IDENTITET OCH DINA PENGAR ÄR TILL SALU.

43 SÅ, VAD SKA VI GÖRA DÅ?

44 GÖRA DET SVÅRARE FÖR NÄTBROTTSLINGARNA ATT TJÄNA PENGAR

45 Det gamla problemet # NYA, UNIKA HOT PER ÅR 20,547 18,827 69, , , , , , Source: Symantec, 2009

46 Det nya problemet # NYA, UNIKA HOT PER ÅR 3,000,000 2,400,000 1,656, ,267 $ 20,547 18,827 69, , , Source: Symantec, 2009

47 RYKTESBASERAD SÄKERHET

48 ETT UNIKT OCH NYTT FÖRSVAR

49 Vi måste tänka om Miljontals filer världen över. De flesta är snälla. Vissa är riktigt elaka.

50 Förekomst Elakingarnas styrka ligger i deras förmåga att skapa unika filer Elaka Snälla Tyvärr fungerar ingen av teknikerna för de tiotals miljonerna filerna med låg förekomst Svartlistning fungerar bra här Vitlistning fungerar bra här

51 Ryktesanalys förändrar detta! Helt nya unika hot (Svårast att upptäcka)) Rykte Hot som kan upptäckas antingen genom vad de gör eller via attribut Heuristik Äldre, väl kända hot Signaturer

52 Tekniken i arbete 1 Samla in data Ryktesservrar (realtid) Filens hash Snäll/elak Pålitlighet Förekomst 3 Insamlande servrar (automatiskt) 2 Datum först sedd Beräkna ryktet (ingen scanning!) 52

53 Skydd när det är som viktigast

54 Tekniken är effektiv 20,000 elaka exempelfiler Korrekt identifierade som elaka eller oprövade: 99.82% Source: Symantec

55 Summering Riktade attacker svåra att skydda emot Information mest intressant Flera lager säkerhet är det enda som gäller Insight är Symantecs nya vapen

56