Bài giảng ZombieZERO - Giải pháp phòng chống tấn công APT hai lớp

Giải pháp phòng chống tấn công APT HAI LỚP

NPCore, Inc.

Nội dung

1. Tổng quan

2. Giới thiệu về ZombieZERO

3. ZombieZERO Inspector

4. ZombieZERO Agent

5. Tại sao lựa chọn ZombieZERO

Nội dung

1. Tổng quan

2. Giới thiệu về ZombieZERO

3. ZombieZERO Inspector

4. ZombieZERO Agent

5. Tại sao lựa chọn ZombieZERO

Tổng quan

Tấn công APT là gì?

APT (Advanced Persistent Threat) là việc hacker hay nhóm hacker có tổ chức tấn công liên tục có

chủ đích nhằm đạt được mục tiêu như đánh cắp các thông tin quan trọng. Chúng sử dụng một số

các phương thức như (E-mail, Web, v.v.) nhằm thực hiện ý đồ của mình

Mức độ cũng như quy mô về mặt kỹ thuật

Advanced

- Sử dụng các kỹ thuật khác nhau

- Lợi dụng lỗ hổng ZERO Day để vượt qua các hệ thống bảo mật

Động cơ và mục tiêu tấn công

Persistent

- Tấn công liên tục nhằm đạt được mục tiêu

- Tránh bị phát hiện, theo dõi

Nguy cơ trong việc an toàn bảo mật

Threat

- Phân tích trực tiếp bởi con người thay vì các công cụ, phần mềm, v.v.

- Sử dụng kỹ thuật “social engineering” nhằm thực hiện các cuộc tấn công

4

Tổng quan

Một số thống kê

Tấn công APT tiến triển từ 2006, và hiện tại là một trong những nguy cơ hàng đầu trong lĩnh vực an toàn thông tin.

<Nguồn> Internet & Security Focus ‘T5, 2013, KISA

Cấp Đe dọa

`

3.20 Hacking(13)

6.25 Hacking(13)

Nonghyup(11)

Stuxnet(10)

Phishing(12)

Blaster Worm(03)

Slammer Worm (03)

SKComs(11)

Hyundai Capital(11)

CH(98)

6.25 DDoS(13)

Virus

3.4 DDoS(11)

Game Item Trade

Site DDoS(07)

7.7 DDoS(09)

Root,DNS

DDoS(02)

`

Code Red(02)

Personal Data Exfiltration from GS Caltex(08)

Personal Data Exfiltration from Auction(08)

Amazon,eBay

DDoS(00)

DDoS

Game Account

Seized (06)

eBay Hacking(08)

Worm

Personal

APT

Data

Exfiltration

2002

2000

2004

2012

Năm

2006

2010

2008

5

Tổng quan

Khó khăn trong việc phát hiện APT

Các giải pháp bảo mật truyền thống phát hiện và tiêu diệt malware dựa trên chữ ký (signature) không thể

phát hiện và ngăn chặn tấn công APT (sử dụng malware biến thể hoặc hoàn toàn mới)

Không chặn được malware

từ các site hợp lệ

Không thể chặn được malware từ

các địa chỉ IP, giao thức,

hay các ứng dụng hợp lệ

Giới hạn của việc phát hiện

malware dựa trên chữ ký

Khôngchặn được file chứa malware

6

Tổng quan

Quá trình tấn công APT

Trong tấn công APT kẻ tấn công tìm cách lây nhiễm malware vào PC trong hệ thống mạng của nạn nhân,

sau đó leo thang và thực hiện đánh cắp các dữ liệu quan trọng chứa trong hệ thống.

Kẻ tấn công

Lộ trình thực hiện

Hệ thống mạng tại mục tiêu

① Máy tính bị nhiễm malware lây nhiễm

sang các máy khác trong mạng

② Thực hiện kết nối ngược

④ Truy cập máy chủ nội bộ/ Đánh cắp dữ liệu

Hệ thống máy chủ nội bộ

③ Điều khiển/ Ra lệnh

⑤ Đánh cắp dữ liệu

Kẻ tấn công

7

Nội dung

1. Tổng quan

2. Giới thiệu về ZombieZERO

3. ZombieZERO Inspector

4. ZombieZERO Agent

5. Tại sao lựa chọn ZombieZERO

Giới thiệu về ZombieZERO

ZombieZERO, là hệ thống phát hiện và phòng chống tấn công APT, bao gồm hệ thống bảo vệ phía người

dùng sử dụng AGENT và hệ thống thu thập, giám sát lưu lượng hệ thống mạng, thực hiện các phân tích

trên môi trường ảo nhằm phát hiện và ngăn chặn malware. ZombieZERO là hệ thống bảo mật mạnh mẽ

cho phép chủ động ngăn chặn các cuộc tấn công như đánh cắp dữ liệu hay các hành vi phá hoại

Agent

Phát hiện

và ngăn

Phát hiện

và ngăn

chặn trên

hệ thống

mạng

Hệ thống

phòng

chốngHAI

LỚP

chặn lớp

người dùng

9

Giới thiệu về ZombieZERO

Hệ thống phòng thủ HAI LỚP đối phó tấn công APT

Hệ thống phòng thủ lớp mạng

Bot Net

ZombieZERO Inspector

Pattern

Generation

Inspector

Hệ thống phòng thủ lớp người dùng

ZombieZERO Agent

ESM

Quản lý và giám sát hệ thống

ZombieZERO ESM

Agent

Thiết bị có

chứa malware

ZombieZERO – giải pháp tiên phong trong phòng thủ APT HAI LỚP

10

Nội dung

1. Tổng quan

2. Giới thiệu về ZombieZERO

3. ZombieZERO Inspector

4. ZombieZERO Agent

5. Tại sao lựa chọn ZombieZERO

ZombieZERO Inspector

ZombieZERO Inspector baogồm hệ thốngphântíchvà pháthiệnmalwaredựatrênphântíchchữký và phântíchhànhvi

Hiệu suất cao

Bước 1

Phân tích lưu lượng và

Cung cấp hiệu suất 20Gbps theo từng module,

được trang bị với chip xử lý đa lõi (36 multi-cores)

-

phân tách file

Sử dụng điện hiệu quả theo năng suất nhờ cấu

hình lai (hybrid configuration)

-

Bước 2

Phân tích file lần1

(Phân tích chữ ký)

Hỗ trợ đa giao thức, và định dạng file

Bước 3

Phân tích file lần2

Thu thập và phân tích trên nhiều loại giao thức

khác nhau SMTP, POP3, HTTP, IMAP, và FTP

-

(Phân tích hành vi)

- Thu thập và phân tích nhiều định dạng file khác

nhau PE (DLL. EXE. File nén), file MS-office, HWP

Kiểm duyệt file nhiều lần

Kiểm duyệt ba lần trên các file nén, cho phép phân

tích trên các định dạng file khác nhau: 7z, xz, taz,

az, tar, và zip

-

Kiểm duyệt tính tương đồng giữa mẫu vaccine và

các file kiểm duyệt, sử dụng phân tích hành vi trên

các mẫu mới

-

12

ZombieZERO Inspector

Bước 1 : Phân tích Lưu lượng và phân tách file

Thu thập các file thông qua phân tích lưu lượng mạng

- Thu thập file qua giao thức Web, FTP, SMTP, IMAP, POP, v.v.

- Thu thập và phân tích file với các định dạng khác nhau *.exe, *.zip, *.doc, v.v.

TAP

Mirroring

Internet

User

Zip File

Doc File

Exe File

…..etc

Phân tách file

Hệ thống phân tích

Phân tích lưu lượng mạng

13

ZombieZERO Inspector

Bước 2: Phân tích chữ ký

Phát hiện malware mới thông qua nhiều bước phân tích

- Cung cấp chức năng phân tích malware dựa trên mô hình trên các tệp tin đã được thu thập

- Cung cấp chức năng phân tích dựa trên hành vi thông qua phân tích động và tĩnh

- Cung cấp chức năng xử lý các PC bị nhiễm độc thông qua việc tổng hợp mô hình cho những malware đã bị phát hiện

- Bằng việc phát hiện hành vi truy cập VM của file exe, VM avoiding malware có thể bị phát hiện thông qua thực hiện bắt buộc sau

khi loại bỏ phần chỉ định

Giám sát thực thi file

(VM Access)

Phân tích

hành vi

Phân tích sơ bộ

AV Engine

Phân tích tĩnh

(Script, Packing,… )

Giải nén

(Bitdefender)

“Phân tích dựa trên chữ ký”

Phân loại file

Phân tích động

(Phân tích hành vi)

32bit,

64bit

Kết quả

Xác minh

Máy ảo

Ngăn chặn/ Kiểm dịch

Tạo và cập nhật mẫu

Máy ảo

Phối hợp với

VirusTotal

“ Hộ trợ trên 40 máy ảo ”

14

ZombieZERO Inspector

Bước 3: Phân tích hành vi

Phân tích qua máy ảo

Phân tách file

Cung cấp môi trường ảo trên nền tảng VMWare

-

INTERNET

Engine

Phân tích hành vi

(Phân tích động)

ESXi 5.1, bao gồm các hệ thống phân tích tĩnh và

E-MAIL

FTP

WEB

động

Thực thi file

Phân tích trên các định dạng khác nhau

Engine phân tích tĩnh

Phân tích nhiều định dạng file khác nhau (DLL.

-

Phân tách malware

EXE), Zip file, MS-Office, HWP, PDF, doc file

File Khả nghi

Tạo mẫu

Mirroring

Phân tích hành vi

- Sử dụng hệ thống phân tích động phân tích

hành vi với file thực thi, các hành vi bất thường

liên quan đến mạng, bộ nhớ,…, được kiểm soát

từ đó xác định được malware

Upload

File khả nghi

Đăng ký

File phân tích

- Phân tích mã nguồn và script đính kèm thông

qua hệ thống phân tích tĩnh (PE, Doc), nguy cơ

tấn công dựa trên các lỗ hổng phần mềm

Nhóm người dùng

Malware.exe

(Injection, web) bao gồm mã nguồn và script có

thể được phát hiện và cung cấp một cách chi tiết

Fiilekhảnghi

15

ZombieZERO Inspector

Phát hiện và ngăn chặn truy cập máy chủ C&C

Phát hiện / ngăn chặn theo thời gian thực truy cập máy chủ C&C

- Phát hiện hành vi truy cập C&C thông qua phân tích mẫu outbound URL và truy cập URI

- Phát hiện và ngăn chặn truy cập máy chủ C&C (sử dụng kỹ thuật TCP Reset, DNS Sinkhole) từ người dùng nội bộ

- Hỗ trợ live-update với CSDL tại NPCore và KISA (Cục Internet và An toàn thông tin Quốc gia)

Cập nhật

thông tin C&C

NPCore, Inc.

Trung tâm

Liên kết với CSDL C&C

của tổ chức

phân tích C&C

DNS Sinkhole

Truy vấn DNS

Truy cập máy chủ C&C

Cập nhật thông tin C&C

Truy cập qua địa chỉ IP

Máy chủ C&C

Zombie PC

Giám sát / Ngăn

chặn thời gian

thực HAI LỚP

TCP Reset

Chữ ký

Hành vi

Phát hiện thời gian

thực truy cập C&C

Phân tích lưu lượng

16

ZombieZERO Inspector

Phân tích lưu lượng thông minh

Phân tích lưu lượng đến, Phát hiện các hành vi bất thường

- Phát hiện malware thông qua phân tích giao thức có hành vi khả nghi như Web, Mail, v.v.

- Phát hiện việc tạo lưu lượng trái phép như truy cập máy chủ C&C của người dùng nội bộ và tấn công DDoS

Nhóm người dùng

Engine phân tích lưu lượng thông minh

Phân tích tổng hợp theo phiên

Kiểm tra hành vi nguy hại liên quan đến hệ thống

Kiểm tra hành vi nguy hại liên quan đến mạng (DNS, URL)

Phát hiện giao tiếp với máy chủ C&C

Phát hiện giao tiếp với mạng ‘Bot net’

Phát hiện lưu lượng bất hợp pháp

17

ZombieZERO Inspector

Smart NIC

Smart NIC, bo mạch nhúng đa lõi, đem đến khả năng tăng cường hiệu suất hoạt động và nguồn tài

nguyên mạng mà không cần phải thực hiện thay đổi các chương trình hiện có.

- Smart NIC thu thập và vận chuyển các gói tin vào các đơn vị nhất định nhằm giảm thiểu ngắt trên hệ thống hiện tại. Ưu điểm của

Smart NIC là đảm bảo công suất hoạt động 20Gbps Full data, giảm thiểu tài nguyên của CPU, nâng cao hiệu suất của ứng dụng.

- Công suất thu thập gói tin 20Gbps ngay cả với gói tin với kích thước nhỏ

18

Nội dung

1. Tổng quan

2. Giới thiệu về ZombieZERO

3. ZombieZERO Inspector

4. ZombieZERO Agent

5. Tại sao lựa chọn ZombieZERO

ZombieZERO Agent

Đặc điểm

I

Phát hiện malware dựa trên hành vi

. Phát hiện và ngăn chặn các malware mới hoặc biến thể

. Khả năng phân tích và phát hiện hiệu quả sử dụng phân tích kết nối trên tiến trình/file/lưu lượng

. Ngăn chặn hành vi trái phép (tấn công DDoS, đánh cắp dữ liệu, nghe lén, v.v) nhờ Agent với engine phân tích hành vi

tại phía người dùng

. Phân tích và phát hiện malware độc lập dựa trên hành vi sử dụng engine phân tích hành vi (các sản phẩm khách phải kết

hợp với thiết bị mạng để thực hiện ngăn chăn)

II

Ngăn chặn hành vi trái phép (Phát hiện và ngăn chặn đánh cắp dữ liệu)

Phân loại hành vi người dùng và hành vi tiến trình, nhờ đó phát hiện, ngăn chặn đánh cắp dữ liệu và lưu lượng bất hợp pháp

Phát hiện kết nối ngược, chặn lệnh phát tán từ hacker đến máy zombie

.

Giám sát và ngăn chặn hành vi nghe lén màn hình của người dùng theo thời gian thực

Phát hiện và ngăn chặn tấn công DDoS và tấn công hệ thống

III

Đảm bảo tính ổn định và khả năng phối hợp phòng thủ

. Giảm thiểu xung đột với các chương trình khác do Agent được cài đặt ở mức Kernel Driver, thay vì mức ứng dụng

. Liên hiệp với hệ thống phòng vệ ở lớp hệ thống mạng, hình thành hệ thống phòng thủ hai lớp

20