• Как мы мониторили киберполигон Positive Technologies Standoff

      “Каждый год мы с друзьями ходим в баню…». Каждый год, когда наши большие друзья, компания Positive Technologies проводит свое глобальное мероприятие для настоявших экспертов в области информационной безопасности – PHDays. И каждый год мой друг и коллега Алексей Лукацкий говорит мне – «Миша, давай что-нибудь технологическое сделаем!». А потом выясняется, что заваленный рутиной, я опять все пропустил. Но этот год, как мы все уже заметили, глубоко особенный. И вместо PHDays было проведено очень эффективное и масштабное мероприятие под названием Standoff. В этот раз я решил послушать Алексея Викторовича и успеть что-то сделать! Тем более, что мероприятие существенно превосходило все, что когда-либо делалось ранее. Посмотреть детали этого впечатляющего киберполигона можно вот тут.

      Вкратце скажу, что он эмулировал собой полноценный, и весьма немаленький город, в котором было практически все – начиная от аэропорта, и заканчивая финансовыми организациями и парком аттракционов! Это давало злоумышленникам возможность проявить свои навыки взлома, а защитникам – свои навыки обнаружения и отражения угроз.

      Итак, возник вопрос, как же нам «понаблюдать» за этой битвой, с точки зрения информационной безопасности? Собственно, эта статья именно о подробностях построении такого процесса наблюдения и полученных нами результатах.
      Читать дальше →
    • Отпилит ли Cisco SD-WAN сук, на котором сидит DMVPN?

        С августа 2017 года, когда компания Cisco приобрела компанию Viptela, основной предлагаемой технологией организации распределенных корпоративных сетей стала Cisco SD-WAN. За прошедшие 3 года SD-WAN технология прошла множество изменений, как качественного, так и количественного характера. Так значительно расширились функциональные возможности и появилась поддержка на классических маршрутизаторах серий Cisco ISR 1000, ISR 4000, ASR 1000 и виртуального CSR 1000v. В то же время многие заказчики и партнеры Cisco продолжают задаваться вопросом – в чем заключаются отличия Cisco SD-WAN от уже привычных подходов на базе таких технологий, как Cisco DMVPN и Cisco Performance Routing и насколько эти отличия важны?

        Здесь сразу следует сделать оговорку, что до появления SD-WAN в портфолио Cisco, DMVPN совместно с PfR составляли ключевую часть в архитектуре Cisco IWAN (Intelligent WAN), которая в свою очередь представляла собой предшественника полновесной SD-WAN технологии. При общем сходстве, как самих решаемых задач, так и способов их решения, IWAN так и не получил необходимого для SD-WAN уровня автоматизации, гибкости и масштабируемости и со временем развитие IWAN значительно снизилось. В то же время сами технологии-составляющие IWAN никуда не делись, и многие заказчики продолжают их успешно использовать в том числе на современном оборудовании. В итоге сложилась интересная ситуация – одно и то же оборудование Cisco позволяет выбрать наиболее подходящую технологию построения WAN (классическую, DMVPN+PfR или SD-WAN) в соответствии с требованиями и ожиданиями заказчиков.
        Читать дальше →
      • Есть контроллер – нет проблем: как с легкостью поддерживать работу беспроводной сети

          В 2019 году консалтинговая компания Miercom провела независимую технологическую оценку Wi-Fi 6 контроллеров Cisco Catalyst серии 9800. Для данного исследования был собран тестовый стенд из контроллеров и точек доступа Wi-Fi 6 от Cisco, и была проведена оценка технического решения в следующих категориях:

          • Доступность;
          • Безопасность;
          • Автоматизация.

          Результаты исследования приведены ниже. С 2019 года функционал контроллеров Cisco Catalyst серии 9800 был существенно улучшен – эти моменты также нашли отражение в данной статье.
          Читать дальше →
        • Свежие фишечки Cisco Wi-Fi 6


            Уже год как мы слушаем о преимуществах революционного с технологической точки зрения стандарта Wi-Fi 6. Российская нормативная база под этот стандарт проходит стадии согласования и через несколько месяцев вступит в законную силу, создав условия для проведения сертификации средств связи.

            Я сфокусируюсь на том, что помимо стандарта предлагает ведущий вендор в области корпоративных беспроводных сетей, компания, в которой я тружусь уже почти 12 лет — Cisco. Именно то, что вне рамок стандарта, заслуживает пристального внимания, именно здесь проявляются интересные возможности.

            Будущее Wi-Fi 6 уже сейчас видится многообещающим:

            • Wi-Fi – самая популярная технология беспроводного доступа по количеству используемых устройств. Относительно недорогой чипсет позволяет встраивать его в миллионы недорогих устройств IoT, что способствует еще большему его распространению. На текущий момент уже десятки различных оконечных устройств поддерживают Wi-Fi 6.
            • новость о развитии Wi-Fi 6 в диапазон 6 ГГц является воистину беспрецедентной. FCC выделяет дополнительные 1200 МГц для безлицензионного использования, что существенно расширит возможности Wi-Fi 6, а также последующих технологий, например уже обсуждаемому Wi-Fi 7. Возможности гарантировать производительность приложений, помноженная на доступность широкого спектра поистине открывает огромные перспективы. В каждой стране есть свое регулирование и в РФ пока никаких новостей по поводу освобождения 6 ГГц не слышно, однако будем надеяться, что глобальное движение не пройдет незамеченным и для нас.
            Читать дальше →
          • Интеграция решений по мониторингу Netflow и SIEM

              SIEM давно превратились в стандарт де-факто при анализе событий безопасности и выявлении инцидентов (хотя сейчас отмечается некоторое движение в сторону отказа от SIEM и замены их решениями по управлению журналами регистрации с надстройкой из технологий машинного обучения), но эффективность этого решения сильно зависит от того, с какими источниками данных оно работает. Все-таки обычно специалисты SIEM преимущественно работают с журналами регистрации, оставляя в стороне такой важный источник информации, как Netflow, который позволяет увидеть то, что часто не попадает в логи или попадает, но слишком поздно. При этом возникает ряд вопросов. Зачем современному SIEM-решению нужна поддержка Netflow? Что SIEM может получить от анализа Netflow? Какой вариант интеграции SIEM с Netflow предпочесть, если есть производители, которые встраивают поддержку Netflow в свои решения напрямую, а есть те, кто предпочитает работать с различными коллекторами Netflow. В чем особенности работы SIEM с Netflow? Об этом мы и поговорим.
              Читать дальше →
            • Зачем Искусственный Интеллект при внедрении Wi-Fi 6?

                Планируя переход к Wi-Fi 6 важно начать с тех зон, где возможности Wi-Fi 6 существенно улучшат производительность сети и качество подключения пользователя. В этом нам поможет Искусственный Интеллект/ Машинное Обучение (ИИ/МО), внедренные в Cisco DNA Center – центр управления сетью. ПО ИИ/МО наблюдает за конфигурациями, собирает телеметрию и позволяет делать интересные измерения по пользователям, устройствам и приложениям. Алгоритмы МО делают сложную корреляцию событий и позволяют оценить ситуацию с учетом контекста, помогая решить конкретные задачи.

                Какие проблемы в существующей беспроводной сети поможет решить Wi-Fi 6?

                • Низкая производительность сети в перегруженных зонах
                • Низкая производительность мобильных устройств в восходящем канале (uplink)
                • Высокий уровень радиопомех
                • Перегруз сети трафиком IoT

                Определить проблемные зоны в беспроводной сети нам поможет ИИ/МО в Cisco DNA Center.
                Читать дальше →
              • SOC на удаленке. О чем стоит подумать?

                  Один аналитик SOC, когда его решили перевести на работу из дома, задал сакраментальный вопрос: «Я живу в однушке со своей девушкой и ее кошкой, на которую (кошку, а не девушку) у меня аллергия. При этом у нас всего один стол, за которым мы едим, а во внетрапезное время, моя девушка на нем раскладывает чертежи, она модельер-конструктор одежды. И где мне прикажете разместить 3 монитора, которые мне разрешили временно забрать с работы?» Ну а поскольку это только один из множества вопросов, которые возникают при переводе работников SOC (Security Operations Center) на удаленку, я решил поделиться нашим опытом; особенно учитывая, что именно сейчас для одного из заказчиков мы как раз проектируем центр мониторинга кибербезопасности (SOC) с нуля и он решил на ходу переобуться и попросил учесть в проекте возможность работы его аналитиков и специалистов по расследованию инцидентов из дома.

                  image
                  Читать дальше →
                • Реализация концепции высокозащищенного удаленного доступа

                    Продолжая серию статьей по теме организации Remote-Access VPN доступа не могу не поделиться интересным опытом развертывания высокозащищенной конфигурации VPN. Задачу нетривиальную подкинул один заказчик (есть выдумщики в Русских селениях), но Challenge Accepted и творчески реализован. В результате получился интересный концепт со следующими характеристиками:


                    1. Несколько факторов защиты от подмены оконечного устройства (с жесткой привязкой к пользователю);
                      • Оценка соответствия ПК пользователя назначенному UDID разрешенного ПК в базе аутентификации;
                      • С MFA, использующей UDID ПК из сертификата для вторичной аутентификации через Cisco DUO (Можно прикрутить любую SAML/Radius совместимую);
                    2. Многофакторной аутентификацией:
                      • Сертификат пользователя с проверкой полей и вторичной аутентификации по одному из них;
                      • Логин (неизменяемый, взятый из сертификата) и пароль;
                    3. Оценкой состояния, подключающегося хоста (Posture)

                    Используемые компоненты решения:


                    • Cisco ASA (Шлюз VPN);
                    • Cisco ISE (Аутентификация / Авторизация / Аккаунтинг, Оценка Состояния, CA);
                    • Cisco DUO (Многофакторная Аутентификация) (Можно прикрутить любую SAML/Radius совместимую);
                    • Cisco AnyConnect (Многоцелевой агент для рабочих станций и мобильных ОС);
                    Читать дальше →
                  • Как Cisco уже 20 лет работает в режиме удаленного доступа и отсутствующего периметра?

                      Вот уже около 20 лет Cisco живет без привычного периметра, а ее сотрудники пользуются всеми преимуществами удаленной работы. Помню, когда я пришел в 2004-м году в Cisco, я получил на руки корпоративный ноутбук с установленным Cisco VPN Client и получил право работать из… да откуда угодно. За это время я работал из дома и гостиницы, из электрички и такси, из самолета на высоте 10000 метров и в метро. По сути у нас реализован принцип «работа там, где я», а не «я там, где работа». Как нам удалось это сделать? Как мы реализовали концепцию «доверенного предприятия», которая вот уже много лет помогает нам не замечать неприятных событий, заставляющих многих из нас безвылазно сидеть по домам (разумеется, есть ряд процессов, которые требуют физического присутствия, например, производство оборудования)?

                      image
                      Читать дальше →
                      • +12
                      • 8,7k
                      • 4
                    • Как отреагировали мошенники Рунета на коронавирус

                        После заметки о том, какие формы принимают киберугрозы, связанные с коронавирусом, я решил посмотреть на то, как в российском Интернете отреагировали на пандемию и что происходит с киберугрозами у нас, а именно с фишинговыми и мошенническими сайтами.

                        image
                        Читать дальше →
                      • Эксплуатация темы коронавируса в угрозах ИБ

                          Тема коронавируса сегодня заполонила все новостные ленты, а также стала основным лейтмотивом и для различных активностей злоумышленников, эксплуатирующих тему COVID-19 и все, что с ней связано. В данной заметке мне бы хотелось обратить внимание на некоторые примеры такой вредоносной активности, которая, безусловно, не является секретом для многих специалистов по ИБ, но сведение которой в одной заметке облегчит подготовку собственных мероприятий по повышению осведомленности сотрудников, часть из которых работает удаленно и еще более подвержена различным угрозам ИБ, чем раньше.

                          image
                          Читать дальше →
                        • Расследование кампании DNSpionage c помощью Cisco Threat Response, в том числе и при удаленной работе

                            Я уже не раз рассказывал о бесплатном решении Cisco Threat Response (CTR), которое позволяет существенно снизить время на расследование инцидентов, характеризующихся множеством разнотипных индикаторов компрометации — хэшей файлов, IP-адресов, имен доменов, адресов e-mail и т.п. Но прошлые заметки были посвящены либо примерам использования CTR с отдельными решениями Cisco, либо его интеграции с ГосСОПКОЙ и ФинЦЕРТом. Сегодня я хотел бы описать, как можно применить CTR для расследования отдельных хакерских кампаний, которые могут использовать множество векторов против множества различных целей внутри компании. В качестве примера возьмем уже упомянутую мной в одной из предыдущих статей кампанию DNSpionage.
                            Читать дальше →
                          • Оптимизация облачных сервисов в AnyConnect VPN туннеле на Cisco ASA

                              Многие компании переходят на использование облачных сервисов в своем бизнесе по всему миру, это и офисные приложения, сервисы BigData, чат/видео/аудио коммуникация с целью проведения митингов/обучения и многие другие. Однако ввиду массового перевода на удаленную работу сотрудников так или иначе требуется получать доступ к корпоративной сети (если конечно заказчик не полностью работает на облачной платформе), для того чтобы сделать доступ безопасным, как правило, используются сервисы типа Remote-Access VPN.
                              Классически такие сервисы могут либо полностью направлять весь трафик удаленного клиента в VPN туннель, либо выборочно направлять или исключать из туннеля трафик основываясь на IPv4/IPv6 подсетях.


                              Многие безопасники решат что наиболее оптимальным было бы использовать опцию полного туннелирования (tunnelall) трафика для полного контроля за всем трафиком пользователя в момент подключения к корпоративной сети и отсутствием возможности параллельного вывода данных через неконтролируемое интернет-соединение. Однако есть и другая чаша весов...


                              • Как организовать файлообмен Box/Dropbox/SharePoint напрямую в облако со скоростью домашнего канала интернет, минуя медленный корпоративный VPN?
                              • Как организовать соединение Webex/Skype напрямую с абонентом, не проводя его через HQ VPN-шлюз, создавая задержки связи и снижая качество связи?
                              • Как заставить только определенные облачные сервисы работать вне VPN туннеля, чтобы пользователь их использовал напрямую через домашний интернет и контролировать остальные не доверенные службы централизованно?
                              • Как эффективно снизить нагрузку на VPN-шлюз не проводя через него трафик доверенных облачных приложений?
                              Читать дальше →
                              • +11
                              • 3,5k
                              • 1
                            • Кейсы для применения средств анализа сетевых аномалий: контроль удаленного доступа

                                Тема удаленного доступа сейчас на подъеме, но обычно при ее описанию речь идет либо о решениях, устанавливаемых на устройствах сотрудников (например, описанный вчера Cisco AnyConnect), либо о решениях, устанавливаемых на периметре. Такое впечатление, что именно эти два набора защитных средств позволяют полностью исключить угрозы со стороны удаленных пользователей, подключающихся к корпоративной или ведомственной инфраструктуре. В этой заметке я хотел бы рассмотреть применение средств класса NTA (Network Traffic Analysis) для мониторинга удаленного доступа.

                                image
                                Читать дальше →
                              • Почему Cisco AnyConnect — это не просто VPN-клиент

                                  На прошлой неделе вышла у меня дискуссия на тему удаленного доступа и различных VPN-клиентов, которые можно поставить на рабочее место сотрудника, отправляемого работать домой. Один коллега отстаивал «патриотическую» позицию, что надо использовать «абонентские пункты» к отечественным шифраторам. Другой настаивал на применении клиентов от зарубежных VPN-решений. Я же придерживался третьей позиции, которая заключается в том, что такое решение не должно быть придатком периметрового шифратора и даже не клиентской частью VPN-шлюза. Даже на производительном компьютере не совсем правильно ставить несколько защитных клиентов, которые будут решать разные задачи — VPN, идентификация/аутентификация, защищенный доступ, оценка соответствия и т.п. Идеально, когда все эти функции, а также иные, объединены в рамках единого клиента, что снижает нагрузку на систему, а также вероятность несовместимости между различным защитным ПО. Одним из таких клиентов является Cisco AnyConnect, о возможностях которого я бы и хотел вкратце рассказать.

                                  image
                                  Читать дальше →
                                • «Удаленка» с маршрутизатором Cisco

                                    В связи с последними новостями о стремительном распространении вируса COVID – 19 многие компании закрывают свои офисы и переводят сотрудников на удаленную работу. Компания Cisco понимает необходимость и важность данного процесса и готова всесторонне поддержать наших заказчиков и партнеров.
                                    Читать дальше →
                                  • Развертывание ASA VPN Load-Balancing кластера

                                      В данной статье я бы хотел привести пошаговую инструкцию того как можно быстро развернуть самую масштабируемую на текущий момент схему Remote-Access VPN доступа на базе AnyConnect и Cisco ASAVPN Load Balancing Cluster.


                                      Введение: Многие компании во всем мире ввиду текущей обстановки с COVID-19 предпринимают усилия по переводу своих сотрудников на удаленный режим работы. Ввиду массовости перехода на удаленную работу, критическим образом возрастает нагрузка на имеющиеся VPN шлюзы компаний и требуется очень быстрая возможность их масштабирования. С другой стороны, многие компании вынуждены второпях осваивать с нуля такое понятие как удаленная работа.

                                      Читать дальше →
                                    • Бесплатное предложение Cisco по организации защищенного удаленного доступа

                                        Текущая ситуация с распространением коронавируса (COVID-19) вынуждает многих сотрудников по всему миру работать удаленно. Хотя это и необходимо, этот новый уровень гибкости рабочих мест создает внезапную нагрузку на ИТ-отделы и подразделения информационной безопасности, особенно в отношении возможностей существующих средств защиты в условиях резкого увеличения спроса.

                                        Чтобы помочь нашим заказчикам, как текущим, так и потенциальным, организовать защищенную работу возросшего количества удаленных пользователей, мы предлагаем бесплатные пробные лицензии с увеличенным сроком действия новым заказчикам и возможность превышения количества пользователей свыше приобретенного ранее пакета без дополнительной платы текущим заказчикам, которые используют уже эти решения, по трем основным линейкам продуктов:
                                        Читать дальше →
                                      • Путь к сетевой невиновности — Cisco DNA

                                          Современные организации хотят от своей сети надежности, производительности и гибкости. Сеть должна позволять быстро подключать офисы, пользователей, внедрять новые услуги и приложения и одновременно быть бесперебойной и производительной. Однако современные сети не всегда соответствуют этим противоречивым по своей сути требованиям.

                                          Кто виноват и что делать?

                                          Архитектура Cisco Digital Network Architecture использует основные идеи SDN — разделение уровней управления и транспорта и автоматизацию задач, связанных с управлением корпоративной сетью. Однако Cisco вышли за рамки концепции SDN и реализовали сеть на основе намерения (Intent-Based Network), сделав её максимально адаптированной для потребностей современных организаций.
                                          Читать дальше →
                                        • Кейсы для применения средств анализа сетевых аномалий: атаки через плагины браузеров

                                            Атаки на браузеры являются достаточно популярным вектором для злоумышленников, которые через различные уязвимости в программах для серфинга в Интернете или через слабо защищенные плагины к ним пытаются проникать внутрь корпоративных и ведомственных сетей. Начинается это обычно на вполне легальных и даже внесенных в белые списки сайтах, которые при этом имеют уязвимости, используемые злоумышленниками. Дополнения (add-on), расширения (extensions), плагины (plugin), будучи однажды установленными даже в благих целях, начинают мониторить пользовательскую активность, “сливать” разработчикам историю посещенных сайтов, внедрять в посещаемые страницы назойливую рекламу, иногда вредоносную. Пользователи часто даже не понимают, что рекламный банер, который они видят на странице сайта, добавлен ими же установленным плагином, а не является изначально внедренным на странице. А иногда такие плагины и расширения и вовсе служат входной дверью для злоумышленников на компьютеры пользователей, с которых начинается победное шествие по внутренней сети предприятия. Именно через такие расширения злоумышленники могут устанавливать вредоносный код, отслеживать данных или красть их. При этом не всегда мы в состоянии заставить всех пользователей правильно настраивать свои браузеры и следить за их конфигурацией. Что же делать в такой ситуации, когда всего один пользователь может стать самым слабым звеном и открыть “ворота в ад”? Решения по мониторингу сетевого трафика могут помочь и в данном кейсе.

                                            image
                                            Читать дальше →

                                          Самое читаемое