قابلیت مشاهده پذیری

فایروال شما چنین ویژگی‌هایی را دارد؟ – بخش دوم

در بخش نخست، به بررسی این موضوع پرداختیم که چگونه فایروال باید با استفاده از یک threat intelligence درجه یک، سیاست‌های امنیتی و ویژگی‌هایی همچون IPS را فراخواند تا به صورت پیشگیرانه، تهدیدها را متوقف نماید، پیش از آنکه بتوانند خودشان را در شبکه شما پنهان سازند. این تدابیر امنیتیِ پیشگیرانه اغلب 99 درصد از تهدیدهای موجود را متوقف می‌سازند.

اما تنها یک حمله موفق می تواند برای شما دردسرهایی ایجاد کند. چه اتفاقی رخ خواهد داد اگر یک مهاجم یا بدافزاری بسیار پیچیده که رویت نشده است به شبکه شما نفوذ کند؟

بهره‌مندی از قابلیت رویت به منظور شناسایی و متوقف نمودنِ سریع تهدید

بزرگترین نفوذهای قابل توجه در مواقعی پیش می‌آیند که مهاجمان در بخشی از یک شبکه نفوذ می‌کنند و سپس سال‌ها بدون اینکه شناسایی شوند آزادانه به فعالیت می‌پردازند. سازمان‌های متاثر، هیچ تصوری از این ندارند که آنها در کجای شبکه پنهان شده‌اند. به این خاطر است که بسیاری از تیم‌های شبکه و امنیت برای دستیابی به قابلیت مشاهده پذیریِ کافی در رابطه با فعالیت تهدیدها در کشمش‌اند. آنها از این مطمئن نیستند که ابزارهای امنیتی‌شان تصویر کاملی از شبکه را در اختیارشان می‌گذارد یا خیر. بدون وجود قابلیت مشاهده پذیری فراگیر، آنها نمی‌توانند تهدیدهای فعال را پیش از آنکه آسیبی وارد نمایند، با سرعتی کافی شناسایی و حذف کنند.

تا به حال از خودتان پرسیده‌اید که فایروال شما چگونه می‌تواند در این مورد موثر باشد؟

در بخش  دوم این نوشته، به این خواهیم پرداخت که چگونه یک فایروال NGFW سیسکو به عنوان یک مولفه اصلی در سیستم دفاعی شما، می تواند قابلیت مشاهده پذیری فوق‌العاده‌ای را برای شناسایی و متوقف نمودنِ سریع تهدیدها فراهم کند.

قابلیت مشاهده پذیری جامع و گسترده – مشاهده تصویری کامل‌تر از شبکه

مشاهده پذیری سودمند با برخورداری از قدرت دیدِ بیشتری آغاز می‌شود که امکانِ زیر نظر داشتنِ مکان‌های بیشتری را در سراسر شبکه به دست می‌دهد. به چه علت؟ به این خاطر که تهدیدها می توانند به شما از طریق چندین “محور حمله”، یعنی شبکه، endpoint، وب، ایمیل و …، هجوم آورند. هرچه بتوانید نواحی بیشتری را مشاهده نمایید، احتمال اینکه بتوانید یک حمله را به سرعت خنثی نمایید، بیشتر خواهد بود.

به این خاطر است که فایروال NGFW سیسکو ، مشاهده پذیری بیشتری را برای فعالیت فایل‌های به طور بالقوه مخرب در میان کاربرها، هاست‌ها، شبکه‌ها و زیرساخت در اختیار شما می‌گذارد. فایروال NGFW سیسکو به ویژه با بهره‌مندی از مزایای منابع گسترده‌ای از محصولات امنیتی سیسکو، کاربران، پروتکل‌های اپلیکیشن، انتقال فایل‌ها، اپلیکیشن‌های وب، تهدیدهای فعال، سیستم‌عامل‌ها، روتر ها و سوییچ‌ ها، سرورهای شبکه، اپلیکیشن‌های کلاینت، دستگاه‌های موبایل و … را نمایش می‌دهد.

فایروال NGFW سیسکو از طریق “indications of compromise” (شکل 1)، شواهد رفتاری‌ای را شناسایی می‌کند که ممکن است بر هاست‌های معینی تاثیر گذاشته باشند. این شواهد را اولویت‌بندی می‌کند و آنها را به مدیر شبکه ارائه می‌کند. این بخش مهمی برای تیم امنیت شبکه است، چرا که می‌تواند در آن تنها با یک کلیک، فرآیند بازرسی را آغاز نماید.

همانطور که در بخش Network Information و Operating Systems از شکل 1 مشاهده می‌شود، فایروال سیسکو می‌تواند سیستم‌عامل‌های در حال اجرا بر روی شبکه (نیاز به هیچ agent بر روی endpoint نیست) را شناسایی کند. در اینجا برخی از دستگاه‌های موجود در شبکه را می‌بینید که سیستم‌عامل Win XP را اجرا می‌کنند. یک سیستم‌عامل قدیمی با وجود نقاط آسیب‌پذیر بیشتر، یک ریسک به شمار می‌آید در نتیجه شما می توانید به سرعت اطلاعات را برای شناسایی دستگاه‌ها استخراج کنید و تصمیم به ارتقا یا از رده خارج کردن آنها بگیرید.

Indications of Compromise and Network Information

شکل 1- Indications of Compromise and Network Information

منوی application protocol (در شکل 2) اپلیکیشن‌های در حال اجرا بر روی شبکه را نشان می‌دهد، این بخش به شما امکان اعمال کنترل‌هایی را می‌دهد که می‌خواهید بر روی اپلیکیشن‌ها قرار دهید. فایروال NGFW سیسکو می‌تواند بر اساس میزان ریسکِ هر اپلیکیشن و اهمیت‌شان برای کسب و کار، آنها را رتبه‌بندی نماید تا فرآیند کاهش ریسکِ اپلیکیشن‌ها به سرعت و سهولت انجام شود. اگر یک اپلیکیشن ریسک بالایی داشته باشد و از لحاظ کسب و کار کم اهمیت باشد، کاندیدای مناسبی برای مسدود شدن خواهد بود. با دوبار کلیک کردن بر روی هر اپلیکیشن در نمودار دایره‌ای، این امکان را خواهید داشت که جزییات بیشتری از هر کدام را مشاهده نمایید.

Application Protocol Information

شکل 2- Application Protocol Information

فایروال NGFW سیسکو یک تکنولوژی sandboxing را در خود یکپارچه نموده است که توسط Threat Grid (در شکل 3) پشتیبانی می‌شود. این تکنولوژی، فایل‌ها و رفتارهای مشکوک در سراسر محیط شما را در مقایسه با میلیون‌ها نمونه و میلیارد‌ها بدافزار دست‌ساخته آنالیز می‌کند. از طریق توضیحاتی درباره نوع بدافزار، آنچه که انجام می‌دهد و میزان تهدیدی که برای سازمان شما ایجاد می‌کند، از تیم امنیت شبکه شما حمایت می‌شود. حتی تیم امنیت شبکه با اطمینان می‌تواند با نمونه‌های بدافزار در تعامل باشد تا مستقیما رفتار آنها را بررسی کند.

تحلیل پویای بدافزار

شکل 3- تحلیل پویای بدافزار

تحلیل مستمر، پیوسته در حال نگهبانی از شبکه شما است

قابلیت مشاهده پذیری نمی‌تواند تنها snapshot هایی از فعالیت فایل در یک لحظه از زمان باشد. مشاهده پذیری باید پیوسته و جاری باشد با نظارتی همیشگی بر شبکه و فعالیت فایل تا به سرعت حملات مخفی را افشا نماید و زمینه را برای تشخیص یک حمله برای شما فراهم کند. از طریق یکپارچه‌سازیِ تکنولوژی Cisco AMP، فایروال NGFW سیسکو نه تنها فایل‌ها و ترافیک شبکه را در لحظه ورود بازرسی می‌کند، همچنین به طور پیوسته رفتار فایل را در سراسر طول عمر آن آنالیز می‌کند. این امر مشاهده پذیری کاملی را در اختیار شما می‌گذارد، در رابطه با اینکه فایل‌ها چه انجام می‌دهند و چگونه رفتار می‌کنند. تصویر کاملی از طول عمر یک تهدید از لایه Edge تا endpoint را به شما نشان می‌دهد. شما می‌توانید دریابید که تهدید در کجا ایجاد شده است، کجا بوده است و چه کاری انجام می‌دهد و به طور خودکار آن را متوقف نمایید.

حتی اگر یک فایل پس از بازرسی اولیه در وضعیت good یا unknown فرض شود، تکنولوژی AMP صرف نظر از وضعیت فایل با چشمی تیزبین مراقب رفتار فایل است. این تکنولوژی می‌تواند به طور خودکار یک تهدید بالقوه را مهار کند و اگر در آینده قصد یا رفتاری مخرب را شناسایی کرد، به شما هشدار دهد. این گذشته‌اندیشیِ خودکار (شکل 4) به فایروال NGFW سیسکو امکان می‌دهد تا اساسا ذهنیت خود را نسبت به تحلیل اولیه‌اش تغییر دهد، درصورتی که فایل دنباله‌ای از رفتارها را نمایش دهد که دلالتی بر نیات مخرب دارد یا اگر Talos intelligence بتواند اطلاعات جدیدی را در رابطه با یک فایل به‌دست‌آورد. این هوشمندی می‌تواند مستقیما از تحقیقات Talos نشات گیرد یا از طریق کاربری دیگر، کسی که عضوی از جامعه Cisco AMP است و فایلی مشابه را بر روی سیستم خود به عنوان فایل مخرب قلمداد می‌کند.

 تحلیل مستمر و با نگاهی به گذشته

شکل 4- تحلیل مستمر و با نگاهی به گذشته

ثابت شده است که این رویکرد مستمر به طور قابل ملاحظه‌ای زمانِ شناسایی تهدیدهای پیشرفته را کاهش می‌دهد. سیسکو زمان شناسایی1 یا TTD را به عنوان پنجره‌ای زمانی، میان سوظن به یک تهدید و شناسایی آن تعریف می‌کند. با توجه به اینکه فایروال NGFW سیسکو اکثر تهدیدها را در چند ثانیه یا دقیقه شناسایی می‌کند، در مقایسه با میانگین زمانیِ بیش از 100 روز برای TTD در صنعت، از میانگین زمانی 4.6 ساعت برخوردار است.

اولویت‌بندی و سفارشی‌سازیِ مشاهده پذیری

ممکن است شما به این فکر کنید که ” مشاهده پذیری بیشتر به من امکان شناسایی، افشاسازی و متوقف نمودن سریع‌تر تهدیدها را می‌دهد. اما این حجم از مشاهده پذیری خیلی زیاد است”. به همین خاطر است که فایروال NGFW سیسکو اطلاعات نمایش داده به شما را اولویت بندی می کند و ساده و موثر می‌سازد. در واقع اطلاعات مناسبی را در زمان مناسب برای مخاطب مناسب فراهم می‌کند. بنابراین مدیریت و بازرسی آسان‌تر، کاراتر و موثرتر خواهد شد که در نتیجه‌ی آن، تیم شما هوشیار نگاه داشته می‌شود و قادر خواهید بود نتیجه‌گیری‌ها و واکنش‌هایی سریعتر را در رابطه با حملات داشته باشید.

تهدیدها از طریق یک سیستم ساده‌ی امتیازدهی به تهدید، اولویت‌بندی می‌شوند. این سیستم پیش از همه، به شما اطمینانی را نسبت به رفع اضطراری‌ترین مسائل خواهد داد. دیگر مدیران در رابطه با هشدارهای عمومی نسبت به تهدیدها که همبستگی‌ای با یکدیگر ندارند و بستری برایشان مشخص نیست، دلواپس نخواهند بود. به جای آن، تهدیدها درون indication of compromise مرتب می‌شوند که تهدیدهای مجزا در یک مکان را به بدافزارهای مرتبط یا تکراری در هر جایی از سیستم شما پیوند می‌دهد. چند بخش از یک بدافزار می‌تواند به عنوان بخشی از یک حمله شناسایی شود به طوری که وقتی فایروال NGFW سیسکو یک تهدید را در یک مکان مشاهده می‌کند، می‌تواند به طور خودکار تمامیِ بدافزارهای مرتبط که از یک حمله مشترک سرچشمه می‌گیرند را متوقف، محدود و اصلاح سازد. در واقع یک بار آن تهدید را مشاهده می‌کند و در همه جا آن را متوقف می‌نماید.

همچنین برای کاهش سربار تحلیل و زمان به هدر رفته، امکان سفارشی‌سازیِ کنسول مدیریت موجود است. به عنوان نمونه به شکل 5 بنگرید. بر طبق اینکه چه اپلیکیشن‌ها و دستگاه‌هایی از بیشترین اهمیت برای کسب و کار شما برخوردارند، می توانید انتخاب کنید که چه tabها و اطلاعاتی برای نمایش بر روی داشبورد شما قرار گیرند. با توجه به شکل 5، در اینجا مدیر شبکه تصمیم گرفته است که از طریق سه tab اولیه در بالا، بیشترین هوشیاری را نسبت به فعالیت شبکه، تهدیدها و رویدادهای نفوذ داشته باشد. در tab مربوط به ترافیک شبکه، ادمین ترافیک را از طریق رابطه‌ی میانِ میزان اهمیت اپلیکیشن از لحاظ کسب و کار و میزان ریسک آن اولویت‌بندی کرده است (top web/server/client apps/operating system). با یکبار تنظیم داشبورد، می‌توانند بر آن اساس روزانه، هفتگی یا ماهانه گزارش تهیه نمایند.

سفارشی‌سازی کنسول مدیریت

شکل 5- سفارشی‌سازی کنسول مدیریت

پیشگیری از نفوذ

فایروال شما چنین ویژگی‌هایی را دارد؟

هنگامی که با هیئت رئیسه و مدیران فناوری اطلاعات در سازمان‌ها پیرامون امنیت سایبری گفتگو می‌شود، همگی آنها در رابطه با این مسئله نگران هستند و می‌خواهند بدانند که چگونه از سازمان، کارمندان و مشتریان خود محافظت کنند. در این میان به نظر می‌رسد، سه نگرانی عمده همیشه در بالای این لیست قرار می‌گیرد: فایروال NGFW سیسکو ادامه مطلب …

راهکار Cisco AMP چیست؟

سازمان ها همواره تحت حملات مختلف قرار دارند و نفوذهای امنیتی دائما مشکلاتی را برای آنها به وجود می آورند. امروزه جامعه هکرها بدافزارهای پیشرفته ای را ایجاد می کنند و آنها را از طریق گستره ای از حملات به درون سازمان ها وارد می کنند. این حملات هدفمند و چندگانه حتی بهترین ابزارهای پیشگیری را هم می توانند دور بزنند. این ابزارها ترافیک و فایل ها را در لحظه ورود به شبکه بررسی می کنند، تهدیدهای شناخته شده را مسدود می کنند و به فایل هایی که در وضعیت “good” یا “unknown” قرار می گیرند اجازه ورود به شبکه خواهند داد. شوربختانه در همین نقطه آنالیزها به پایان می رسند. در صورتی که فایل مخرب مخفیانه اداره شود تا سیستم های دفاعی را دور بزند (به طور مثال با استفاده از تکنیک هایی همچون sleep ، polymorphism و … )، این سیستم ها برای اقداماتی که تهدیدها بر روی سیستم شما انجام می دهند، visibility اندکی را فراهم می کنند. این مسائل باعث خواهد شد که محدوده ای از خطرات بالقوه از دید متخصصان امنیت دور بماند و نتوانند رفتار بدافزارها را به سرعت تشخیص و در قبال آنها واکنش نشان دهند و فایل های مخرب را محدود و حذف کنند، پیش از آنکه منجر به آسیب جدی شوند. ادامه مطلب …

سیسکو ISE چیست؟

شبکه های enterprise امروزه به سرعت در حال تغییرند، به خصوص زمانی که بحث قابلیت جابجایی موقعیت جغرافیایی کارمندان در آن مطرح است. مدت زمانی است که دیگر، کارمندان به دسکتاپ های خود وابسته نیستند بلکه به جای آن برای دسترسی به منابع سازمان از طریق دستگاه های متنوعی چون تبلت ها، تلفن های هوشمند و لپ تاپ های شخصی به شبکه متصل می شوند. توانایی دسترسی به منابع از هر نقطه، بهره وری را به شدت افزایش  می دهد، اما در کنار آن، احتمال نفوذهای داده ای و تهدیدهای امنیتی نیز افزایش می یابد. چرا که ممکن است وضعیت امنیتِ دستگاه هایی که به شبکه دسترسی دارند را نتوانید کنترل کنید. ردیابی همه دستگاه هایی که به شبکه دسترسی دارند در نوع خود وظیفه بسیار سنگینی است. و هنگامی که نیاز به دسترسی های بیشتر افزایش می یابد، مدیریت آنها، ناپایدارتر خواهد شد. ادامه مطلب …

پنج نشانه : چک لیست امنیت شبکه

شبکه های جدید به سرعت در حال رشد هستند. این شبکه ها شاخه های متعدد، کاربران موبایل، رایانش ابری و مراکز داده را به هم متصل می کنند. Mobility، اینترنت اشیا (IOT) ، دسترسی BYOD  1 و خدمات ابری برای رشد کسب و کارها حیاتی هستند. این پیچیدگی برقراری امنیت شبکه را سخت خواهد کرد. سازمان های بسیاری حتی نمی دانند که چه زمانی و از کجا باید شروع کنند تا سیستم امنیت شبکه خود را تقویت نمایند. ادامه مطلب …

پنج رهنمود برای انتخاب یک فایروال Next-Generation

آیا فایروال شما می تواند بدون حرف و حدیثی حفاظتی پیشرفته در برابر تهدید را به همراه مدیریتی ساده شده در اختیارتان قرار دهد؟ برای انتخابی بهتر در جستجوی پاسخ به نیازهای خود باشید.

 

برای مشاهده تصویر با کیفیت بیشتر آن را در برگه ای جدید باز کنید

فایروال Threat-Focused NGFW – قسمت دوم

این مقاله بخش دوم از سری مقاله های مربوط به threat-focused NGFW است. بخش اول آن را در اینجا مشاهده کنید.

 به درون threat-focused NGFW قدم گذارید

فایروال threat-focused NGFW سیسکو چه چیزی را به گونه ای متفاوت انجام می دهد؟ در اینجا به مقایسه مشهورترین سیستم های NGFW موجود در بازار (NGFW معمولی) با سیستم Threat-Focused NGFW) FirPower NGFW) می پردازیم. ادامه مطلب …

فایروال Threat-Focused NGFW سیسکو – قسمت اول

هوشیاری غیر منتظره

در ابتدا با برخی مفاهیم در غالب یک داستان شروع می کنیم.
من در قسمت بدی از شهر زندگی می کنم و همیشه نگران هستم که ماشینم دزدیده شود یا اینکه آسیب ببیند. بنابراین بیش از هزار دلار برای سیستم امنیتی (دزدگیر) ماشین سرمایه گذاری کردم. یکی از آن سیستم های فوق پیشرفته که به اپلیکیشنی بر روی گوشی هوشمند متصل است، شامل کلید اطفای حریق، ردیاب ماشین، دوربین ها و تشخیص حرکت می شود به اضافه ی همه ویژگی های متداولی که شما انتظار دارید. ادامه مطلب …

بررسی فایروال سیسکو ASA با سرویس‌ های FirePower

در شرایط امروزی امنیت سایبری، شرکت ها نمی ­توانند از عهده واکنش به نفوذی که خطر آسیبی جبران ­ناپذیر را به همراه دارد، برآیند. برای پاسخگویی به افزایش فزاینده خطرات، فایروال های Next Generation اقدامات امنیتی پایه­ ای را برای جلوگیری از حملات بر شبکه ­های سازمان دنبال می­ کنند. سرویس­ های Cisco ASA with FirePOWER فایروال­های threat-focused NGFW را ارائه می ­دهند که مورد پذیرش مارکت هستند و از سیستم دفاع تایید شده ای برای محافظت شبکه­ ها برخوردارند. ادامه مطلب …