【Interop Tokyo 2016】 ビッグデータ解析手法による脅威分析サービス
•
2 j'aime•544 vues
Interop Tokyo 2016 のシスコブースで行ったシアター プレゼンをご紹介します。
Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
En vedette
En vedette (18)
Similaire à 【Interop Tokyo 2016】 ビッグデータ解析手法による脅威分析サービス
Similaire à 【Interop Tokyo 2016】 ビッグデータ解析手法による脅威分析サービス (20)
Plus de シスコシステムズ合同会社
Plus de シスコシステムズ合同会社 (12)
Dernier
Dernier (10)
【Interop Tokyo 2016】 ビッグデータ解析手法による脅威分析サービス
- 1. * 本資料に記載の各社社名、製品名は、各社の商標または登録商標です。 吉野 直樹 Advanced Services, Security 2016年6月 Cisco Active Threat Analytics ビッグデータ解析手法による 脅威分析サービス
- 2. 70,000イベント／週 平均的なセキュリティイベント1 395時間／週 フォルスポジティブ調査にか ける時間2 1.3億円 フォルスポジティブ調査に費 やす費用2 調査に費やす膨大な時間とコスト $ 1. 2014 State of Infections Report. Damballa. May 2014. https://www.damballa.com/downloads/r_pubs/Damballa_Q114_State_of_Infections_Report.pdf 2. The Cost of Malware Containment. Ponemon Institute. January 2015. http://www.ponemon.org/local/upload/file/Damballa%20Malware%20Containment%20FINAL%203.pdf *Derived from Ponemon Institute Cost of Cyber Crime Study 2015
- 4. Active Threat Analytics Cisco Security Solutions Managed Security Services
- 5. リアルタイム検出 収集データの相関分析 顧客環境を踏まえた 運用 インテリジェンス 活用 不正トラフィック解析 検知スピード アラート分析精度 対応工数の軽減 情報資産に応じた セキュリティ対策 既知の脅威への対応 未知の脅威への対応 • 各種ログ データをリアルタイムで分析しインシデントを自動検出 • サード パーティ製品のログに対応（Syslogプロトコル） • ログデータ、及びNetflow、フルパケット キャプチャの相関分析による False Positive の軽減 • アナリストが、原因、感染端末、実施すべき対処を具体的に提示 • 重要資産や外部接続境界等の配置構成を踏まえた監視ポイントの設定 とイベント検出時の優先度設計 • 300万台以上のセンサーで全世界の35%のトラフィックを捕捉 • 補足したトラフィックからインテリジェンス強化し既知の脅威の 検出精度向上 • Netflow、フルパケットを活用した統計分析、ビッグデータ解析により、不 正なトラフィックを検出 ATAの特長 メリット ATAの特長
- 6. ATA分析エンジン概要 Threat Intelligence Feeds Enrichment Data Full packet capture Protocol metadata NetFlow Machine exhaust (logs) Unstructured telemetry Other streaming telemetry Parse + Format Enrich Alert Log Mining and Analytics Big Data Exploration, Predictive Modelling Network Packet Mining and PCAP Reconstruction Applications + Analyst Tools
- 7. サイバー攻撃検知でのBig Data活用例 <アラート> IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction Passive Network Tap NetFlow Syslogs Vendor Agnostic Telemetry FIREWALL CustomerSourcefire IDSが事象を検 知し、アラートを送出。 Alerting/Ticketing System Dedicated Customer Portal Threat Intelligence ATTACK SUMMARY Secure Connection (HTTPS/SSH/IPSec) INTERNETVPN VPN SOC
- 8. サイバー攻撃検知でのBig Data活用例 <検知> アナリストが不審な通信 パターンをNetFlowにより確 認。詳細を調査するために、 インベスティゲータにエスカ レーション。 ATTACK SUMMARY IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction Passive Network Tap NetFlow Syslogs Vendor Agnostic Telemetry FIREWALL Customer SOC Alerting/Ticketing System Dedicated Customer Portal Threat Intelligence Secure Connection (HTTPS/SSH/IPSec) INTERNETVPN VPN
- 9. サイバー攻撃検知でのBig Data活用例 <特定> さらなる調査のためにフル パケットキャプチャの調査 を実施し、アタックが成立 しているサーバを特定。お 客様に通知し、対象サー バの隔離をアドバイス。 ATTACK SUMMARY IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction Passive Network Tap Syslogs Vendor Agnostic Telemetry FIREWALL Customer SOC Alerting/Ticketing System Dedicated Customer Portal NetFlow Secure Connection (HTTPS/SSH/IPSec) INTERNETVPN VPN Threat Intelligence
- 10. 顧客は通知を受け入れた が、サーバの隔離は行わ ずアンチウィルス ソフトを 実行した。 ATTACK SUMMARY IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction Passive Network Tap Syslogs Vendor Agnostic Telemetry FIREWALL Customer SOC Alerting/Ticketing System Dedicated Customer Portal Threat Intelligence NetFlow Secure Connection (HTTPS/SSH/IPSec) INTERNETVPN VPN サイバー攻撃検知でのBig Data活用例 <復旧>
- 11. サイバー攻撃検知でのBig Data活用例 <復旧> アンチウィルスによる対策 が功を奏さず、攻撃が継 続していることをインベス ティゲータが確認。隔離対 応を再度要請。 ATTACK SUMMARY IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction Passive Network Tap Syslogs Vendor Agnostic Telemetry FIREWALL Customer SOC Alerting/Ticketing System Dedicated Customer Portal Threat Intelligence NetFlow Secure Connection (HTTPS/SSH/IPSec) INTERNETVPN VPN C:¥RECYCLER¥cmd.xe [Err] The system cannot find the file specified. C:¥RECYCLER¥cmd.exe
- 12. サイバー攻撃検知でのBig Data活用例 <復旧> 顧客が対象サーバを隔離 し、再構築およびパッチ適 用を実施。 ATTACK SUMMARY IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction Passive Network Tap Syslogs Vendor Agnostic Telemetry FIREWALL Customer SOC Alerting/Ticketing System Dedicated Customer Portal Threat Intelligence NetFlow Secure Connection (HTTPS/SSH/IPSec) INTERNETVPN VPN
- 13. サイバー攻撃検知でのBig Data活用例 <解決> 攻撃試行の継続は観測さ れたが、対応済みのサー バは攻撃を拒絶。 ATTACK SUMMARY IntelligentVisibilitySwitch DEDICATED CUSTOMER SEGMENT Administrative Console Investigator Portal Authentication Services Secure Connection (HTTPS/SSH/IPSec) INTERNET CUSTOMER PREMISE CISCO DATA CENTER Sourcefire Full Packet Capture Advanced Analytics Metadata Extraction FIREWALL Customer SOC Alerting/Ticketing System Dedicated Customer Portal Threat Intelligence VPN VPN Passive Network Tap Syslogs Vendor Agnostic Telemetry NetFlow
- 14. 脅威への防御にビッグデータ アプローチが必要な理由 巧妙化する攻撃者 – あからさまなセキュリティ脅威よりも、 標的型攻撃やステルス攻撃が大幅に増加 各種ソースからの変化の激しい多様なデータを詳細にわたり 分析 フルパケット キャプチャのリアルタイム分析およびリアル タイム データと過去データの相関関係 グローバルな脅威インテリジェンスを利用した既知の脅威や 異常に対する防御
- 15. ATA-プロアクティブ スレット ハンティング Proactive Threat Hunting 次のソースに対して、顕在化していない脅威や不正な行動を発見するための運用を実施します。 この行動は各センサーの検出イベントに関わらない積極的な調査となります。 顧客環境トラフィック分析 顧客環境にて取得したパケット キャプチャデータを利用し、以下の 特性から潜在する不正アクティビティの有無を調査します。 例1: 各プロトコル別利用率 例2: サーバ上で提供している各サービスの利用率 例3: クライアントPCからの要求サービスの利用率 例4: サーバおよびクライアントPCの通信量（パケット数、バイト数） 例5: 通信先（国や組織）の統計 例6: HTTPやDNSによる怪しいドメインとの通信状況 例7: Emailによる怪しい（不明な）添付ファイル 業界および他団体での発生イベントのノウハウ利用 業界レベルで発生するインパクトの大きなインシデントによる 影響やその脆弱性に起因する調査活動の発生有無等をログ やトラフィック分析を通じて把握します。 例1：HeartBleedにおけるOpenSSL脆弱性をサーチするアク ティビティの受信状況 例2：他団体で確認された未知のMalwareの侵入有無の確認 サイバー脅威のハンティングとは？ ネットワークを積極的に何度も反復して検索し、既存のセキュリティ ソリューションによる網の目をかいくぐるような先進的脅威を検知し、隔離 するためのプロセス。 ZD Net Japan HPより抜粋 脅威のハンティングは、SIEM（Security Information and Event Management）のような自動化されたシステムにのみ頼るのではなく、 手作業と、マシンによって支援されるテクニックで構成されている。 ZD Net Japan HPより抜粋
- 16. Why Cisco Managed Security Service? • 全世界のシスコ社員(派遣等含む)約13万人、2,000近い拠点のCSIRT組織を保有 • CSIRTの上流組織となるFIRSTに加盟し、その知見を各サービスや製品へ積極的に反映 • 商用セキュリティ研究機関としては世界最大規模となる「Talos」を組織し、100TBのインテリジェンスを保有 • 専任のセキュリティ担当者を約700名 • 全世界に分析用ネットワーク センサーとして300万台以上 • リアルタイムにセキュリティ分析しているトラフィックは全世界の35％ 10I000 0II0 00 0III000 II1010011 101 1100001 110 110000III000III0 I00I II0I III0011 0110011 101000 0110 00 I00I III0I III00II 0II00II I0I000 0110 00 1010000II0000III000III0I00IIIIII0000III0 1100001110001III0I00III0IIII00II0II00II101000011000 100III0IIII00II0II00III0I0000II000 I00I III0I III00II 0II00II I0I000 0110 00 1100001110001III0I00III0IIII00II0II00II101000011000 シスコは無償でグローバルのセキュリティレポートをご提供しております。 http://www.cisco.com/web/JP/solution/security/annual_security_report.html