Whitepaper Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System Der Echtzeit-Kontextaustausch ermöglicht frühe Angriffserkennung sowie adaptiven Bedrohungsschutz Whitepaper Inhalt Kurzfassung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 Nachhaltiger Vorteil . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 Bausteine für adaptiven Bedrohungsschutz. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 End-to-End-Immunisierung und Anpassung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 McAfee Data Exchange Layer: Datenaustausch in Echtzeit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 McAfee Threat Intelligence Exchange: Die Macht des Wissens nutzen. . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Der Turbo für bestehenden Endgeräteschutz. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Überprüfung umfangreicher Daten für mehr Klarheit und schnelle Reaktion . . . . . . . . . . . . . . . . . . . . . 7 Sofortiger Austausch von Bedrohungsdaten. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 Szenario 1: Reaktion basierend auf kollektiv erfassten Daten. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 Szenario 2: Einbindung von McAfee Advanced Threat Defense für tiefgehende Analyse. . . . . . . . . . 9 Szenario 3: Schnellere Angriffserkennung dank McAfee Enterprise Security Manager. . . . . . . . . . . 10 Neue Abwehrtaktiken. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .11 Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 2 Whitepaper Kurzfassung Zum zweiten Mal in Folge befragte McAfee, ein Geschäftsbereich von Intel Security, auf der Konferenz Black Hat Sicherheitsexperten zu den Herausforderungen in Bezug auf hochentwickelte Malware, die bei wenig verbreiteten und gezielten Angriffen zum Einsatz kommt. Trotz umfassender Investitionen in vermeintlich „todsichere“ Produkte stand die Malware-Erkennung weiterhin ganz oben auf der Liste der Probleme. Als erster Schritt zur Erkennung muss das Signal aus den unwichtigen Informationen herausgefiltert werden. Dabei gilt es jedoch, False-Positives zu vermeiden, was als zweithäufigstes Problem genannt wurde (von 25 Prozent der Befragten). Zudem verursachen der zeitnahe Schutz vor und die schnelle Reaktion auf solche Malware-Angriffe weiterhin häufig Frust. 35 35 % 36 % 2013 2014 28 25 % 20 % 21 22 % 17 % 13 % 11 % 14 9% 7 5% 3% 4% 0 Erkennung Schnelle Fehlerbehebung Verhältnis Schutz (Entfernung Reaktion zwischen (Blockierung der Malware (BenachSignal und in Echtzeit aus der unwichtigen oder zeitnah) richtigung über Kom- Umgebung) Informationen promittierung) (False-PositiveMinimierung) Andere Abbildung 1. Die Black Hat-Teilnehmer gaben an, dass sie nach wie vor Probleme bei der Abwehr hochentwickelter Malware haben. Diese Probleme sind die Folge unzureichender Integration zwischen den Sicherheitstechnologien zur Untersuchung, Datenerfassung, Analyse und Erzwingung, die zur Verhinderung, Erkennung, Reaktion und Verarbeitung von Zwischenfällen erforderlich sind. Durch die Integration verbessert sich die Effizienz, da der aktive Datenaustausch und die beschleunigte technologieübergreifende Verarbeitung es jeder Sicherheitskontrolle ermöglichen, die Stärken und Fähigkeiten der anderen Komponenten zu nutzen. Dieses adaptive Bedrohungsabwehrmodell ersetzt schnell herkömmliche separat agierende Architekturen, damit Sicherheitsteams einen nachhaltigen Vorteil gegenüber komplexen Bedrohungen erhalten. Beim adaptiven Bedrohungsschutzmodell werden einzelne Malware-Interaktionen nicht als separate Ereignisse behandelt, sondern dank einer effizienten Nachrichtenebene integriert erfasst und verarbeitet. Dies verbessert die Untersuchungen und Analysen, die von erweiterten Daten gespeist werden, und verbindet End-to-End-Komponenten, damit von jedem Kontakt und Prozess so viele umsetzbare Daten wie möglich erfasst und berücksichtigt werden können. Mit dem Wechsel zu adaptivem Bedrohungsschutz lassen sich die stark verbreiteten funktionalen Hürden überwinden, die die Erkennung von Bedrohungen, die Reaktion darauf sowie die Chancen auf verbesserte Vermeidung von Bedrohungen behindern. Separate Datenquellen und Kontrollmechanismen erschweren die Abläufe und erhöhen das Risiko. So werden beispielsweise die von den einzelnen Kontrollmechanismen generierten Daten sowie der jeweilige Situationskontext schlecht erfasst und nur selten ausgetauscht. Eine Firewall blockiert Schaddaten, die von einer nicht vertrauenswürdigen Domäne stammen, weil sie die Kommunikation mit dieser Quelle als schädlich einstuft. Da sie die Daten aber nicht als Malware erkennt, werden dieselben Daten ins Netzwerk gelassen, wenn sie von einer vertrauenswürdigen Domäne gesendet werden. Ebenso kann Malware-Schutz unbekannte Schaddaten blockieren, die von bekannten gefährlichen Adressen empfangen werden, wenn er nicht nur die eigentlichen Daten berücksichtigt oder bei der Analyse der erhaltenen Daten die IP-Adresse mit einbezieht. Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 3 Whitepaper Mit solchen nicht miteinander vernetzten Sicherheitsfunktionen können Unternehmen lediglich Brandherde löschen, d. h. bei jeder Kompromittierung mit hohem Personalaufwand reagieren. Diese ineffiziente Vorgehensweise belastet jedoch nicht nur die wenigen für Untersuchungen verfügbaren Ressourcen, sondern verlängert auch den Zeitraum, in dem Daten und Netzwerk entschlossenen Angreifern ausgesetzt sind. Somit bieten diese nicht integrierten Sicherheitsprodukte, Daten und Prozesse raffinierten Angreifern viel Freiraum und Möglichkeiten, in Ihr Unternehmen einzudringen, sich zu verbergen und eine dauerhafte Präsenz aufzubauen. Nachhaltiger Vorteil Was ist ein Angriffsindikator? Ein Angriffsindikator ist ein einmaliges Geflecht aus unbekannten Attributen, Kompromittierungsindikatoren und Kontextinformationen, die Unternehmens- sowie Risikodaten umfassen und ein dynamisches Situationsabbild erzeugen, mit dem Sie Ihre weiteren Reaktionen planen können. Mit McAfee® Threat Intelligence Exchange und der McAfee Security Connected-Plattform steht Sicherheitsexperten jetzt ein Hochleistungssystem zur Verfügung, das Workflows und Daten bündelt, um voneinander getrennte Sicherheitsabläufe zusammenzuführen und ein flexibles sowie intelligentes Bedrohungsschutzmodell zu realisieren. Globale, lokale und Drittanbieter-Bedrohungsdaten sowie unternehmensinternes Wissen wird zusammengefasst, um bereits bei der Ausführung intelligentere Entscheidungen treffen zu können, während verdächtige Dateien gründlich analysiert werden. Durch den Versand kontextbezogener Angriffsdaten (Angriffsindikatoren) an Systeme zur vektorübergreifenden Erkennung, Eindämmung und Behebung erhalten Sicherheitsanalysten einen nachhaltigen Vorteil gegenüber hochentwickelten gezielten Bedrohungen. Dank der Nutzung von Echtzeitkommunikation und deren Integration in vorhandene McAfee- und Drittanbieter-Lösungen kann Ihr Unternehmen Kompromittierungen kostengünstig abwehren und die Schutzlücke zwischen Erkennung und Eindämmung schließen. Dieses Whitepaper stellt vier Szenarien für die Nutzung des Schutz- und Einsparpotenzials vor, die dieser hochmoderne Ansatz mit McAfee Threat Intelligence Exchange bietet: QQ QQ QQ QQ Verbesserung der Endgeräte-Effizienz durch aktive Bedrohungsdatenerfassung (dank Integration mit VirusScan® Enterprise und SiteAdvisor® Enterprise) Nutzung der VirusTotal-Integration zur Bewertung von Daten und Werten anderer MalwareSchutz-Anbieter, um bei einer potenziellen Bedrohung für Ihre eigene Umgebung die richtige Vorgehensweise zu bestimmen Verbesserte Erkennung und Reaktion auf hochentwickelte Malware durch zusätzliche Funktionen zur dynamischen Sandbox-Analyse sowie statischen Analyse sowie Verknüpfung mit Netzwerkkomponenten (dank Nutzung von McAfee Advanced Threat Defense und Gateway-Produkten) Einordnung kollektiver Bedrohungsdaten in den Kontext vergangener und aktueller Angriffsschritte, um sofort reagieren zu können durch Abwehr aktiver Angriffe, Untersuchung vergangener Zwischenfälle und Überwachung zukünftiger Ereignisse (dank McAfee Enterprise Security Manager) Bausteine für adaptiven Bedrohungsschutz McAfee Threat Intelligence Exchange greift auf den McAfee Data Exchange Layer zu. Diese bidirektionale Kommunikationsstruktur vereinfacht die Produktintegration sowie den Austausch von Kontextinformationen. Auf diese Weise kann sie Sicherheitsinformationen und adaptiven Schutz bereitstellen. McAfee Threat Intelligence Exchange erfasst sowie verteilt Reputationsdaten und trifft aus der Ferne in Echtzeit Schutzentscheidungen. Zu den Kernbestandteilen des Security ConnectedFrameworks gehörten stets Automatisierung und Integration. Dank dem Data Exchange Layer verändert McAfee Threat Intelligence Exchange die Bedrohungsabwehr: Die Lösung setzt erweiterte Bedrohungsdaten in den richtigen Kontext und verteilt diese in Echtzeit in der gesamten Umgebung. End-to-End-Immunisierung und Anpassung Die Sicherheitsteams in Unternehmen erhalten lokale Kontrolle über die Klassifizierung potenzieller Malware und Bedrohungen. Gleichzeitig tauschen die Sicherheitskomponenten ihre Datenanalysen sofort untereinander aus und passen ihre Schutzmaßnahmen entsprechend an. McAfee Threat Intelligence Exchange nutzt den Data Exchange Layer zur Verknüpfung von Endgeräteschutz, Gateways und weiteren Sicherheitskomponenten zu einem leistungsstarken und fortschrittlichen Schutzsystem Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 4 Whitepaper zur Abwehr hochentwickelter Bedrohungen. Sie reduzieren das Risiko, optimieren und verbessern den Schutz vor zukünftigen Angriffen und minimieren die Betriebskosten sowie den Aufwand separater Schutzmaßnahmen für hochentwickelte gezielte Bedrohungen. SICHERHEITS-MANAGEMENT SCHUTZ FÜR INHALTE • McAfee Enterprise Security Manager (SIEM) • McAfee Email Gateway • ePolicy Orchestrator • McAfee Data Loss Prevention • McAfee Threat Intelligence Exchange • McAfee Vulnerability Manager NETZWERKSICHERHEIT • McAfee Web Gateway ENDGERÄTESICHERHEIT • McAfee Endpoint Security-Suites • McAfee Advanced Threat Defense • McAfee Data Center Security Suite • McAfee Network Security Platform (IPS) • McAfee Embedded Security • McAfee Next Generation Firewall • McAfee Device Control • McAfee Firewall Enterprise • McAfee Endpoint Encryption • Hardware-unterstützte Sicherheit Abbildung 2. McAfee Threat Intelligence Exchange und der McAfee Data Exchange Layer bilden ein dynamisches Framework zur nachhaltigen Nutzung der Security Connected-Plattform. Die McAfee Threat Intelligence Exchange-Komponenten agieren gemeinsam, um die relevanten Daten unverzüglich an Sicherheitslösungen für Netzwerk, Endgeräte, Anwendungen und weitere Komponenten weiterzugeben. Dadurch werden Sicherheitsinformationen bereitgestellt und adaptive Sicherheit implementiert. Somit verringert die Lösung die Schutzlücke zwischen der Erkennung und der Eindämmung hochentwickelter gezielter Angriffe von Tagen, Wochen oder Monaten auf wenige Millisekunden. McAfee Data Exchange Layer: Datenaustausch in Echtzeit Der Data Exchange Layer vereinfacht die Integration und senkt dadurch die Implementierungsund Betriebskosten. Anstelle der direkten Integration über Low-Level-APIs ermöglicht die Kommunikationsstruktur des Data Exchange Layer die Produktintegration über ein gemeinsames Informationsmodell, das verschiedenste Kommunikationsmethoden unterstützt. Dadurch können Produktkonfigurationen automatisch durchgeführt und somit Fehler vermieden sowie der Aufwand gesenkt werden. Der Data Exchange Layer stellt eine bidirektionale Echtzeit-Kommunikationsstruktur bereit, über die angebundene Komponenten permanent miteinander verbunden sind. Über eine Abstraktionsebene besteht eine Verbindung zwischen Endgeräteschutz, Gateways und anderen Sicherheitskomponenten, über die sie unabhängig von ihrem Standort in Echtzeit Bedrohungsinformationen austauschen können. Dieses Modell ermöglicht die Verteilung von Steuer- und Kontrollkommandos lokaler Sicherheitskontrollen an entfernte Nodes in anderen Niederlassungen, selbst wenn sich diese hinter NATGeräten (Network Address Translation), Firewalls und privaten Gateways befinden. Die Sicherheit der Kommunikation wird dadurch gewährleistet, dass der gesamte Datenverkehr per TLS (Transport Layer Security) auf Transportebene verschlüsselt wird. Diese Verschlüsselungsmethode wird für die zertifikatbasierte starke gemeinsame Authentifizierung aller Teilnehmer voraus- und von der Kommunikationsstruktur durchgesetzt. Dadurch kann gewährleistet werden, dass die Daten sicher sind und die Struktur selbst vor externen Angriffen oder Missbrauch geschützt ist. Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 5 Whitepaper McAfee Global Threat Intelligence Bedrohungsdaten von Drittanbietern McAfee Threat Intelligence Exchange Server McAfee ePO McAfee Advanced Threat Defense McAfee Enterprise Security Manager PartnerProdukte McAfee Data Exchange Layer McAfee Threat Intelligence Exchange-Modul für VirusScan Enterprise McAfee Next Generation Firewall McAfee Network Security Platform McAfee Email Gateway Andere Produkte McAfee Web Gateway Abbildung 3. Der Data Exchange Layer stellt ein Framework zur Echtzeitkommunikation bereit, dank dem alle Sicherheitskomponenten als Einheit agieren können. McAfee Threat Intelligence Exchange: Die Macht des Wissens nutzen McAfee Threat Intelligence Exchange ermöglicht Administratoren die einfache Anpassung und Nutzung umfassender Bedrohungsinformationen aus weltweiten Datenquellen wie McAfee Global Threat Intelligence (McAfee GTI), VirusTotal und Feeds von Drittanbietern sowie lokalen Quellen wie Echtzeit- und Verlaufsereignissen von Endgeräteschutz, Gateways und weiteren Sicherheitskomponenten. Sie können die Informationen aus den Bedrohungsdatenquellen zusammenstellen, außer Kraft setzen, erweitern und an die eigene Umgebung anpassen. Mithilfe intelligenter Listen können Sie eigene Black- und Whitelists für Dateien und Zertifikate, für das Unternehmen ausgestellte Zertifikate uvm. implementieren. Durch die Aggregation und Nutzung lokaler Bedrohungsdaten kann McAfee Threat Intelligence Exchange jede Bedrohung im Kontext der Aktivitäten sowie der Betriebsumgebung jedes Unternehmens analysieren. Die von Endgeräteschutz, Gateways und Sicherheitskomponenten erfassten Metadaten werden kombiniert, sodass Sie einen Überblick über den Bedrohungsstatus Ihres Unternehmens erhalten und entsprechende Schutzmaßnahmen ergreifen können. Der Turbo für bestehenden Endgeräteschutz Während selbst erweiterte herkömmliche Forensiklösungen spezialisierte Tools und Schulungen sowie großen manuellen Aufwand erfordern, überführt McAfee Threat Intelligence Exchange Bedrohungsinformationen direkt in automatisierte Schutzmaßnahmen, die nach den Regeln der IT-Abteilung arbeiten. McAfee Threat Intelligence Exchange nutzt McAfee VirusScan Enterprise und ermöglicht dank genauer Entscheidungen zur lokalen, kontextbezogenen Dateiausführung herausragenden Endgeräteschutz. Wenn eine Datei ausgeführt werden soll, laufen folgende Vorgänge ab: QQ QQ QQ VirusScan Enterprise fragt die eigenen lokalen Signaturen ab. Wenn die Datei unbekannt ist, fragt das McAfee Threat Intelligence Exchange-Modul McAfee Threat Intelligence Exchange Server nach Metadaten zu der Datei ab. Wenn kein Datensatz zu dieser Datei gefunden wird, fragt McAfee Threat Intelligence Exchange Server das Cloud-basierte McAfee GTI-Netzwerk ab und gibt dem abfragenden Host die globale Reputation wieder. Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 6 Whitepaper QQ Was möchten Sie gerne wissen? Wenn eine ursprünglich unbekannte Datei später von einer lokalen Quelle für Bedrohungsinformationen, einem Cloud-Dienst oder internen Untersuchungen als gefährlich eingestuft wird, kann McAfee Threat Intelligence Exchange Server umsetzbare Details zu schädlichem Verhalten liefern, mit denen Sicherheitsverantwortliche folgende Fragen beantworten können: QQ QQ QQ QQ QQ QQ QQ QQ QQ Befindet sich diese Datei auf einem meiner Endgeräte? (Verbreitung) Wurde sie ausgeführt? (wichtig für die Unterscheidung zwischen infizierten und nicht infizierten Endgeräten) Wo wurde sie ausgeführt? (zur Definition einer Prioritätenliste gefährdeter Systeme) Welches System wurde zuerst infiziert? (erstes Auftreten) Welche Computer sind wahrscheinlich kompromittiert, weil sie eine Datei ausführten, die jetzt als gefährlich eingestuft wurde? Wie verbreitet sich die Malware in meiner Umgebung? (Fortbewegung der Datei) Wo befinden sich die Dateien, die von anderen Sicherheitsprodukten nicht blockiert werden? Welche „grauen“ Dateien können in die Black- oder Whitelist aufgenommen werden? Wie ist die globale Reputation einer bestimmten Datei im Vergleich zur lokalen Reputation im Unternehmen? QQ QQ QQ QQ McAfee Threat Intelligence Exchange Server beantwortet die Abfrage mithilfe der gesammelten Metadaten, die er bereits zu dieser Datei besitzt. In der Antwort sind unternehmensspezifische Werte wie Reputation, Verbreitung und Alter enthalten. Das McAfee Threat Intelligence Exchange-Modul kombiniert anschließend basierend auf Regeln den lokal ermittelten Kontext (Datei-, Prozess- sowie Umgebungsattribute) mit den aktuell verfügbaren und kollektiv gesammelten Bedrohungsdaten, um eine Risikobewertung durchzuführen. Das Client-Modul wendet Ihre Richtlinien an, um eine Entscheidung für oder gegen die Ausführung der Datei zu treffen. McAfee Threat Intelligence Exchange Server protokolliert das Ereignis in seiner Knowledgebase-Datenbank. Falls sich eine unbekannte Datei später als böswillig herausstellt, kann VirusScan Enterprise angewiesen werden, den Host zu bereinigen, wodurch ein ausgeführter böswilliger Prozess gestoppt werden kann. Mithilfe von Richtlinien können Sie die Risikotoleranz für das Endgerät anpassen und verschiedene Ausführungsbedingungen definieren. Sie können beispielsweise eine strenge Nulltoleranz-Richtlinie für unbekannte oder „graue“ Dateien festlegen. Dies erfordert lediglich die Festlegung einer Richtlinie, wonach keine Datei ausgeführt werden darf, die nicht über eine bekannte und zulässige Reputation verfügt. Jedes Unternehmen hat unterschiedliche Vorstellungen davon, welches Risiko es beim Zulassen von Dateien bereit ist einzugehen bzw. wann Dateien isoliert oder gelöscht werden sollen. Diese Toleranz hängt meist von der Klasse und geschäftlichen Wichtigkeit der unterschiedlichen Systeme ab. Wenn der Administrator die Datei später als sicher kennzeichnet, kann er die blockierte Anwendung zu einer Whitelist hinzufügen oder aber festlegen, dass die Benutzer die Datei selbst nach einer entsprechenden Meldung zulassen können. Überprüfung umfangreicher Daten für mehr Klarheit und schnelle Reaktion Die kollektiven – weltweit, lokal, von Drittanbietern bereitgestellten und manuell generierten – Bedrohungsdaten, die auf McAfee Threat Intelligence Exchange Server gespeichert sind, ermöglichen eine ungehinderte Übersicht und beantworten wichtige Fragen auf Grundlage sofort verfügbarer, umsetzbarer Informationen. Diese Informationen können Ihnen die überzeugenden Nachweise liefern, dank derer Sie agieren und Ihr Unternehmen absichern können, anstatt auf die Meldung eines Drittanbieters warten zu müssen und das Unternehmen bis dahin ungeschützt zu lassen. Beispielsweise zeigen die Verbreitungsdaten für das Unternehmen jeden Computer, der eine bestimmte Datei angefordert hat. Die Liste betroffener Systeme hilft dabei, die Taktiken der Angreifer aufzudecken und – noch wichtiger – das ihnen zur Verfügung stehende Eindringungsfenster verkleinern. Gehören alle Computer, die diese Datei erhalten haben, zu einer einzelnen Arbeitsgruppe, z. B. Finanzabteilung oder SoftwareEntwicklung? Das würde darauf hinweisen, auf welche vertraulichen Daten die Angreifer es abgesehen haben. Haben die Systeme ein gemeinsames Anwendungsprofil, das auf Zero-Day-Schwachstellen hinweist? Sofortiger Austausch von Bedrohungsdaten McAfee Threat Intelligence Exchange unterstützt Unternehmen bei der Anpassung ihrer Schutzmaßnahmen und vollständigen Eindämmung der Bedrohung. Wenn ein McAfee Threat Intelligence Exchange-Client auf dem Host die Ausführung einer Datei blockiert oder zulässt, wird diese Entscheidung in den Datensätzen von McAfee Threat Intelligence Exchange Server vermerkt. Die Informationen zu jeder Entscheidung können auf mehrfache Weise angewendet werden. McAfee Threat Intelligence Exchange verteilt sofort die Reputationsinformationen sowie die Details zur Entscheidung an alle verbundenen Schutzsysteme im Unternehmen, einschließlich Endgeräteschutz und Gateways wie die McAfee Network Security Platform sowie Drittanbieterprodukte. Auf diese Weise werden alle Sicherheitsprodukte sofort aktualisiert und lernen voneinander, sodass sie einheitlichen und lokalen angepassten Schutz mit einer Geschwindigkeit bieten können, die kein Anbieter oder Drittunternehmen schlagen kann. Da bei einem typischen raffinierten Angriff nach verwundbaren Systemen gesucht wird, schützt diese fortschrittliche Informationsweitergabe innerhalb der Umgebung andere Hosts vor der Kompromittierung oder der Attacke durch eine bestimmte Angriffsvariante. Optional kann McAfee Threat Intelligence Exchange auch die neu erlangten lokalen Bedrohungsdaten an die McAfee GTI-Cloud weiterleiten, um andere Schutzsysteme bei der Abwehr ähnlicher Angriffe zu unterstützen. Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 7 Whitepaper Was möchten Sie gerne wissen? (Fortsetzung) QQ QQ QQ QQ QQ Wie viele Dateien wurden in den letzten Stunden als böswillig identifiziert? Folgende Szenarien verdeutlichen, wie McAfee Threat Intelligence Exchange und der McAfee Data Exchange Layer die Funktionsweise des Bedrohungsschutzes verändern, umsetzbare Informationen liefern sowie den präventiven Schutz erweitern – von der Erkennung bis hin zur Isolierung. Szenario 1: Reaktion basierend auf kollektiv erfassten Daten Wie viele Dateien in meinen Umgebungen wurden der Black-, Whiteoder Graylist zugeordnet? Im ersten Szenario wird der Endgeräteschutz basierend auf lokal optimierten Bedrohungsdaten ermöglicht. Diese Anpassung hätte es im Jahr 2013 Händlern des VISA-Netzwerks erlaubt, schnell automatisierte Schutzmaßnahmen gegen die Hash-Werte zu implementieren, die von VISA für einen Speicher-Parser-Angriff veröffentlicht wurden.1 Welcher Anteil des gesamten Dateibestandes wird in der Black-, Whiteoder Graylist geführt, wenn nach Microsoft WindowsVersion unterschieden wird? Jetzt erhalten die Unternehmensadministratoren eine Mitteilung und tragen die neuen Hash-Dateien über die Verwaltungsoberfläche in McAfee Threat Intelligence Exchange ein. Wenn das Host-System anschließend die verdächtige Datei findet, verhindert McAfee Threat Intelligence Exchange deren Ausführung basierend auf der angepassten und durch die kollektive Bedrohungserfassung erhaltene Information („diese Hash-Werte sind gefährlich“). Welche Dateien kommen in meiner Umgebung am seltensten vor? (Einzelfälle, potenziell böswillige Dateien) Wird eine bestimmte Version des Betriebssystems Microsoft Windows besonders angegriffen? McAfee Global Threat Intelligence VISA Kernkomponenten McAfee ePO McAfee Threat Intelligence Exchange Server McAfee Data Exchange Layer McAfee Threat Intelligence Exchange-Modul für VirusScan Enterprise Abbildung 4. Drittanbieterdaten können wertvolle Informationen liefern. Von internen Teams erkannte Malware (oder verdächtige Dateien) können sofort blockiert werden, ohne dass ein Exemplar eingesendet und auf eine Aktualisierung der Virenschutzsignatur durch den Anbieter gewartet werden muss. Wenn ein anderes Endgerätesystem diese Datei erkennt, wird das im Verbreitungszähler von McAfee Threat Intelligence Exchange Server erfasst, wodurch Administratoren wertvolle Informationen dazu erhalten, ob das Unternehmen angegriffen wird. Der Nutzen für das Unternehmen besteht darin, dass ein Kompromittierungsindikator (in diesem Fall ein Datei-Hash-Wert) eine Vielzahl wertvoller Informationen liefern kann, die in Echtzeit weitergegeben werden können. McAfee Threat Intelligence Exchange kann zudem die Ausführung und nicht nur Lese- sowie Schreibprozesse einer Datei verhindern. Dieser Ausführungsschutz verhindert ungewöhnliches Verhalten und ermöglicht McAfee Threat Intelligence Exchange die Erfassung wertvoller Angriffsindikatoren, die sofort in der gesamten Umgebung verteilt werden können. Im Gegensatz zu Kompromittierungsindikatoren, die einzelne, als gefährlich bekannte statische Ereignisse beschreiben, beschreiben Angriffsindikatoren eine Situation aus Ihrer Sicht. Angriffsindikatoren sind ein einmaliges Geflecht aus unbekannten Attributen, Kompromittierungsindikatoren und Kontextinformationen, die Unternehmens- sowie Risikodaten umfassen und ein dynamisches Situationsabbild erzeugen, mit dem Sie Ihre weiteren Reaktionen planen können. McAfee Threat Intelligence Exchange erkennt und meldet neue sowie ungewöhnliche Ereignisse in der Umgebung, die möglicherweise noch nicht mit einer bekannten Bedrohung oder Kompromittierung in Zusammenhang gebracht werden. Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 8 Whitepaper Szenario 2: Einbindung von McAfee Advanced Threat Defense für tiefgehende Analyse Ein Angreifer, der Ihre Unternehmensdaten stehlen möchte, greift auf subtile StealthProgrammiertechniken und Zero-Day-Exploits zurück. Die dabei eingesetzte Malware-Datei ist möglicherweise einmalig oder wird nur vereinzelt eingesetzt. Dieses seltene Vorkommen verhindert, dass diese Bedrohung von herkömmlichen Signatur- oder Reputations-basierten Gegenmaßnahmen zuverlässig erkannt wird. Wenn eine verdächtige Datei jedoch nicht durch vorhandene McAfee Threat Intelligence Exchange-Ressourcen überführt werden kann, wird dies durch die tiefgehende Analyse mit McAfee Advanced Threat Defense möglich. McAfee Advanced Threat Defense ergänzt die Erkennung hochentwickelter gezielter Angriffe um einen mehrstufigen Ansatz, der innovative Echtzeit-Dekonstruktion von Malware nutzt. Dies umfasst zum Beispiel starke Entpackfunktionen, die Verschleierungstechniken aushebeln, um den ursprünglichen ausführbaren Code sowie das damit beabsichtigte Verhalten ermitteln zu können. Wo andere Sandbox-Anbieter mit einfachen Malware-Kodierungstaktiken leicht getäuscht oder umgangen werden können, kombiniert McAfee Advanced Threat Defense mehrere Techniken zur branchenweit ersten Funktion zur Echtzeit-Dekonstruktion von statischem Code mit dynamischer Sandbox-Analyse, um die Verschleierungstaktiken der Angreifer auszuhebeln. Dies ergibt die stärkste sowie fortschrittlichste Malware-Schutztechnologie auf dem Markt und schafft ein Gleichgewicht zwischen der notwendigen Sicherheit und Leistungsfähigkeit. McAfee Global Threat Intelligence Bedrohungsdaten von Drittanbietern McAfee McAfee Threat Threat Intelligence Intelligence Exchange-Server Exchange Server JA NEIN McAfee ePO McAfee McAfee Threat Threat Intelligence Intelligence ExchangeExchangeModul Modul für für McAfee Endgeräteschutz VirusScan Abbildung 5. Daten- und Reputations-Synthese aus der Cloud, dem Netzwerk sowie von Endgeräten Bidirektionaler Informationsaustausch zwischen Endgeräten und Netzwerkkomponenten Durch den Einsatz von McAfee Threat Intelligence Exchange in Kombination mit McAfee Advanced Threat Defense wird der Schutz vor hochentwickelten gezielten Angriffen verstärkt. Sie erhalten einen zeitgemäßen und zuverlässigen Bedrohungsschutz, der Verhaltens-, Reputations- und Signatur-basierte Analysen für das Netzwerk und die Endgeräte kombiniert. McAfee-Endgeräte erhalten per Richtlinie die Aufforderung, Daten mit „unbekannter“ Reputation zu blockieren und anschließend zur genauen Untersuchung und Entscheidung über die Gefährlichkeit an McAfee Advanced Threat Defense zu senden. Wenn die Datei als gefährlich eingestuft wird, gibt das System diese Information mit einem Reputations-Update über den Data Exchange Layer an alle im Unternehmen verbundenen Schutzsysteme weiter. Dadurch können zum Beispiel von McAfee Threat Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 9 Whitepaper Intelligence Exchange verwaltete Endgeräte sofort präventiv die Ausführung dieser Datei blockieren, während Netzwerk-Gateways verhindern, dass diese Datei in das Unternehmensnetzwerk gelangt. Erkennungen auf den Netzwerk-Gateways werden durch diesen zentralen Analyseprozess verarbeitet, und die Erkenntnisse werden ebenfalls an die Endgeräte weitergegeben. Dieser Erkenntnis- und Reputationsaustausch verdeutlicht, wie Endgeräte und Netzwerk die einmalige Security Connected-Plattform dazu nutzen, Lücken durch die Out-of-Band-Übertragung von Schaddaten zu schließen. Durch die Verknüpfung der vektorübergreifenden McAfee-Sicherheitslösungen werden nicht nur das Anfälligkeitsfenster für neue Malware-Varianten erheblich verringert, sondern auch der Zeitaufwand für die Fehlerbehebung sowie der Bedarf an Netzwerkumgestaltungen reduziert. Durch die Nutzung der VirusTotal-Integration zur Bewertung von Daten und Werten anderer MalwareSchutz-Anbieter können Sie bei einer potenziellen Bedrohung für Ihre eigene Umgebung die richtige Vorgehensweise bestimmen. Szenario 3: Schnellere Angriffserkennung dank McAfee Enterprise Security Manager Nicht zuletzt möchten viele Unternehmen die von McAfee Enterprise Security Manager bereitgestellte Transparenz und Korrelation nutzen, um einen schnelleren und besseren Überblick über die Bedrohungen in ihrer Umgebung zu erhalten. Das SIEM-System (Sicherheitsinformations- und Ereignis-Management) McAfee Enterprise Security Manager kann umfangreiche Daten von McAfee Threat Intelligence Exchange und McAfee Advanced Threat Defense abrufen und mit seinem patentierten HochleistungsDatenbankmodul die Protokoll- und Ereignisdaten aus Hunderten Datenquellen korrelieren. Dank dieser erweiterten, detaillierten Daten können Sie bei der Untersuchung von und Reaktion auf Angriffe Fragen beantworten wie: „Welche Hosts zeigen Verhalten, das zu unseren neuen Erkenntnissen passt?“ Immer dann, wenn McAfee Threat Intelligence Exchange neue böswillige Ereignisse (ein „erstes Vorkommen“) erkennt und die Aufforderung zum Ausführen bzw. Blockieren an die Clients sendet, kann McAfee Enterprise Security Manager die Administratoren auf dieses Ereignis aufmerksam machen sowie Behebungsschritte wie Aktualisierungen der Endgeräterichtlinien fast in Echtzeit auslösen. Dank der engen Verknüpfung der Erkennung/Reaktion/Verhinderung können die McAfee Enterprise Security ManagerWorkflows und Watchlists dafür sorgen, dass die Erkenntnisse von McAfee Threat Intelligence Exchange und SIEM den Schutz sowie die Risikoverwaltung in Ihrem Unternehmen verbessern. Aus der Vergangenheit für die Zukunft lernen McAfee Enterprise Security Manager nutzt die von McAfee Advanced Threat Defense und McAfee Threat Intelligence Exchange bereitgestellten Elemente, um Ereignisse in den McAfee Enterprise Security Manager-Archiven zu finden und bei zukünftigen, damit zusammenhängenden Ereignissen Warnungen auszugeben. Das gibt Unternehmen die Möglichkeit, die Uhr zurückzudrehen und die aktuellen neuen Erkenntnisse zur Identifizierung früherer böswilliger Interaktionen zu nutzen, die zum Ausführungszeitpunkt unentdeckt blieben. So kann zum Beispiel der Hash-Wert einer als gefährlich erkannten Datei von McAfee Threat Intelligence Exchange oder McAfee Advanced Threat Defense in eine SIEM-Watchlist eingefügt werden. McAfee Enterprise Security Manager wiederum nutzt die in der Watchlist gespeicherten Informationen zum Vergleich mit älteren indexierten Daten bzw. neuen Echtzeitereignissen. Da Datei-Hash-Werte von vielen Produkten – nicht nur McAfee Advanced Threat Defense, sondern auch von Lösungen zur Dateiintegritätsüberwachung (McAfee Change Control) sowie von Netzwerk-Eindringungsschutzsystemen und Malware-Schutz-Web-Gateways – generiert werden, erhöht der veröffentlichte Datei-Hash-Wert die Sensibilität für Aktivitäten im gesamten Unternehmen. Wenn McAfee Threat Intelligence Exchange die Reputationsinformationen an diese Systeme sendet, um die Blockierung zu erzwingen, ermöglicht McAfee Enterprise Security Manager die Zusammensetzung der einzelnen Ereignisse, um ein vollständiges Gesamtbild der böswilligen Aktivitäten zu erhalten. Zusätzlich zu den Datei-Hash-Werten kann McAfee Enterprise Security Manager weitere Angriffsindikatoren nutzen, die von McAfee Advanced Threat Defense und McAfee Threat Intelligence Exchange generiert werden. Beide Lösungen stellen zusätzlich zu den Ergebnissen Details zu Dateienamen, IP-Informationen, Code-Hash-Werte, Verbreitung und Host-Name zur Verfügung. Hochentwickelte gezielte Bedrohungen – Bekämpfung erfordert ein integriertes System 10 Whitepaper Die Berichte von McAfee Advanced Threat Defense umfassen zudem Informationen zu den Dateien, die mit dem Angriff in Zusammenhang stehen. Wenn in Ihrer Umgebung sowohl McAfee Advanced Threat Defense als auch McAfee Enterprise Security Manager eingesetzt werden, kann McAfee Enterprise Security Manager gefährliche Dateien filtern, die von McAfee Advanced Threat Defense entdeckt wurden, und dann Ereignisse nach diesen Dateien durchsuchen. Sobald die Dateien gefunden wurden, können die entsprechenden Daten im weiteren Verlauf anhand der IP-Adressen und Dateinamen gefiltert werden, die von McAfee Advanced Threat Defense zu diesen Daten erfasst wurden. McAfee Enterprise Security Manager dokumentiert alle mit diesen Attributen zusammenhängenden und von McAfee Advanced Threat Defense generierten Ergebnisse sowie überwacht die nachfolgenden Ereignisse. Da McAfee Enterprise Security Manager Ereignisse innerhalb eines Angriffs erkennt, kann die Lösung automatisch Maßnahmen zur Eindämmung, Behebung und Anpassung einleiten. So können zum Beispiel Hosts, die vom Angriff betroffen sind, ein sofortiges Richtlinien-Update erhalten oder isoliert bzw. gescannt werden. Neue Abwehrtaktiken Diese Szenarien zeigen Möglichkeiten auf, mit denen die besten, umfassendsten und relevantesten Informationen in Ihre Abwehr einfließen und für die automatische Umsetzung von Schutzmaßnahmen genutzt werden können. Sie können Erkennung, Analyse und Schutzfunktionen auf Daten- und WorkflowEbene miteinander verknüpfen, damit Ihre Sicherheitslösungen voneinander lernen und Ihr Unternehmen zuverlässig sowie in Echtzeit schützen. Zudem können Sie Bedrohungen effektiv und anhand aktuellster Informationen in Ihrer gesamten Umgebung erkennen, gezielt suchen sowie beseitigen. Das gilt sowohl für vergangene als auch zukünftige Ereignisse. Dank der adaptiven Bedrohungsinformationen und der Echtzeitkommunikation mit der Security ConnectedPlattform bietet McAfee eine neue Abwehrtaktik gegen hochentwickelte gezielte Angriffe. McAfee Threat Intelligence Exchange liefert Details zu Bedrohungsdaten, damit Angriffsindikatoren definiert und als Grundlage für Aktionen verwendet werden können, während die verschiedenen Komponenten der Security Connected-Plattform vom Data Exchange Layer mit Kontext ausgestattet werden. Mit McAfee Advanced Threat Defense und McAfee Enterprise Security Manager sowie den verschiedenen McAfee-Lösungen für Endgeräte- und Netzwerksicherheit erhalten Sie den branchenweit umfassendsten Bedrohungsschutz – in einem optimierten System zur nachhaltigen Abwehr hochentwickelter gezielter Angriffe. Weitere Informationen hierzu finden Sie unter: www.mcafee.com/de/solutions/incident-response/comprehensive-threat-protection.aspx www.mcafee.com/de/solutions/incident-response/index.aspx www.mcafee.com/de/products/threat-intelligence-exchange.aspx www.mcafee.com/de/products/advanced-threat-defense.aspx www.mcafee.com/de/products/siem/index.aspx Über Intel Security McAfee ist jetzt ein Geschäftsbereich von Intel Security. Durch die Security Connected-Strategie, einem innovativen Ansatz für Hardware-unterstützte Sicherheitslösungen sowie das Global Threat IntelligenceNetzwerk ist Intel Security voll und ganz darauf konzentriert, für die Sicherheit seiner Kunden zu sorgen. Dazu liefert Intel Security präventive, bewährte Lösungen und Dienste, mit denen Systeme, Netzwerke und Mobilgeräte von Privatanwendern und Unternehmen weltweit geschützt werden können. Intel Security verknüpft die Erfahrung und Fachkompetenz von McAfee mit der Innovation und bewährten Leistung von Intel, damit Sicherheit als essentieller Bestandteil jeder Architektur und Computerplattform eingebettet wird. Intel Security hat sich zum Ziel gesetzt, allen – Privatpersonen ebenso wie Unternehmen – die Möglichkeit zu geben, die digitale Welt absolut sicher nutzen zu können. www.intelsecurity.com 1. http://usa.visa.com/download/merchants/alert-prevent-grocer-malware-attacks-04112013.pdf McAfee. Part of Intel Security. Ohmstr. 1 85716 Unterschleißheim Deutschland +49 (0)89 37 07-0 www.intelsecurity.com Intel und das Intel-Logo sind eingetragene Marken der Intel Corporation in den USA und/oder anderen Ländern. McAfee, das McAfee-Logo, ePolicy Orchestrator, McAfee ePO und VirusScan sind eingetragene Marken oder Marken von McAfee, Inc. oder seinen Tochterunternehmen in den USA und anderen Ländern. Alle anderen Namen und Marken sind Eigentum der jeweiligen Besitzer. Die in diesem Dokument enthaltenen Produktpläne, Spezifikationen und Beschreibungen dienen lediglich Informationszwecken, können sich jederzeit ohne vorherige Ankündigung ändern und schließen alle ausdrücklichen oder stillschweigenden Garantien aus. Copyright © 2014 McAfee, Inc. 60945wp_it-takes-a-system_0214B
© Copyright 2024 ExpyDoc
