Допустим, я скачиваю браузером картинку PNG с фотографией ветки сакуры с веб-сайта из Японии. Она ведь не умещается в одном фрейме. Как выглядит каждый фрейм в нашем случае и сколько их всего будет? И будет ли внутри каждого фрейма что-то меняться в процессе передачи из Японии в Россию?
На каждом этапе перемещения данных по стеку TCP/IP каждый протокол добавляет свой заголовок и передает на следующий уровень абстракции..
Давайте обсудим как выглядят фреймы на каждом этапе передачи от клиента к коммутатору, к роутеру, к межсетевому экрану и к серверу и какие поля при этом там меняются.
По данным компании Verisign DNS используется криптолокерами для обмена ключами шифрования. По данным исследовательской лаборатории Unit42 компании Palo Alto Networks, примерно 85% вредоносных программ используют DNS для установления канала управления и контроля, позволяя злоумышленникам легко внедрять вредоносные программы в вашу сеть, а также похищать данные.
Причем скоро в корпоративных сетях начнется рост зашифрованного DNS-трафика. Зашифрованный трафик DNS, который не анализируется должным образом и при этом разрешен, представляет угрозу безопасности для вашей компании.
При правильной настройке NGFW могут запрещать или защищать использование DNS-over-TLS (DoT) и могут использоваться для запрета использования DNS-over-HTTPS (DoH), что позволяет анализировать весь трафик DNS в вашей сети.
Самая частая задача — проверить насколько эффективно настроен ваш межсетевой экран. Для этого существуют бесплатные утилиты и сервисы у компаний которые занимаются NGFW.
Например, ниже видно, что у компании Palo Alto Networks есть возможность прямо из портала поддержки запустить анализ статистики межсетевого экрана — SLR отчет или анализ соответствия лучшим практикам — BPA отчет. Это бесплатные онлайн утилиты, которыми можно воспользоваться ничего не устанавливая.
Хорошо, мы увидели сколько приложений переносит файлы. А какие это файлы и какие из них вредоносные?
Следующая статистика собрана уже по типам файлов. Видно, что большинство файлов, которые идут на проверку — это PDF, однако большинство типов файлов, которые содержат вредоносный код — это EXE. Совершенно не значит, что нужно защищаться только от EXE, ведь вам может хватить одного вредоносного файла для MacOS, чтобы потерять все данные.
Сегодня просматривал статистику Wildfire и стало интересно по каким приложениям ходит неизвестный вредоносный код (zero-day) и как часто. На картинке приведена статистика по приложениям и частоте атак через это приложение. В первом столбце имя приложения. Во втором столбце указано сколько дней в году в этом приложении выдели zero-day. В третьем столбце — число сессий этого приложения или по сути число семплов в год. Статистика взята за весь 2018 год с января по декабрь.
Интересно, что есть приложения, по которым вредоносный код ходит редко, — например, приложение SOAP, но там его видят каждый день. Есть где каждый день и в больших объемах. Я на своем опыте вижу, что самые частые приложения для проверки в песочницах — SMTP и web-browsing. Остальные приложения, как правило, игнорируются. Скорее всего атаки и проходят как раз там, где их не ждут.
Новое поколение межсетевых экранов удобнее и безопаснее, благодаря новой архитектуре движка и новой идеологии управления сетевыми потоками.
Почему появилась эта статья?
Неоднократно приходил к коллегам-безопасникам, которые пользуются межсетевым экраном нового поколения и видел, что они продолжают писать правила по номерам портов. На мое предложение перейти писать по имени приложений, слышал «А вдруг так не заработает?». Если вам тоже «страшно» или непонятно зачем писать правила по приложениям, от эта статья для вас.
Новое поколение межсетевых экранов удобнее и безопаснее, благодаря новой архитектуре движка и новой идеологии управления сетевыми потоками.
Почему появилась эта статья?
Неоднократно приходил к коллегам-безопасникам, которые пользуются межсетевым экраном нового поколения и видел, что они продолжают писать правила по номерам портов. На мое предложение перейти писать по имени приложений, слышал «А вдруг так не заработает?». Если вам тоже «страшно» или непонятно зачем писать правила по приложениям, от эта статья для вас.
Критерии выбора межсетевого экрана обычно делятся на три основные области:
функции безопасности,
удобство управления,
производительность.
Функциональные элементы системы безопасности влияют на эффективность системы защиты и способность вашей команды управлять рисками, связанными с работой различных приложений в сети. С точки зрения удобства управления самый большой вопрос состоит в том, где должна располагаться политика управления приложениями, насколько сложной она является, и насколько трудно ею управлять вашим специалистам? В отношении производительности все просто: способен ли межсетевой экран выполнить возложенные на него функции, обеспечив нужную для предприятия пропускную способность?
Каждая организация будет выдвигать свои требования и приоритеты среди критериев выбора межсетевого экрана. Чтобы помочь в этом, мы решили четко сформулировать 10 обязательных функций межсетевого экрана нового поколения:
Идентификация и контроль приложений по любому порту
Идентификация и контроль попыток обхода защиты
Расшифрование исходящего SSL и управляющего SSH трафика
Контроль функций приложений и их подприложений
Управление неизвестным трафиком
Сканирование с целью выявления вирусов и вредоносных программ во всех приложениях, по всем портам
Обеспечение одинакового уровня визуализации и контроля приложений для всех пользователей и устройств
Упрощение, а не усложнение системы безопасности сети благодаря добавлению функции контроля приложений
Обеспечение той же пропускной способности и производительности при полностью включенной системе безопасности приложений
Поддержка абсолютно одинаковых функций межсетевого экрана как в аппаратном, так и виртуальном форм-факторе
Как перестать замерзать в ЦОД? Все очень просто — нужно начать настраивать устройства удаленно.
Был на обучении в Америке и коллега показал мне свою игрушку — AirConsole. Я загорелся и заказал себе такую же.
Теперь я часто пользуюсь ей для настройки различного оборудования. В чем удобство?
— Теперь мне не надо сидеть внутри холодного ЦОД во время настройки: подцепил коробочку к консольному порту и вышел.
— Радиоканал достаточно мощный, так что можно смело расположиться в удобном кресле и все настраивать с iPad или телефона. Я использую iPad.
