AnubisNetworks Labs Agregação, correlação e processamento inteligente e detecção em tempo real e prevenção de ataques no ciber espaço

Transcrição

1 AnubisNetworks Labs Agregação, correlação e processamento inteligente e detecção em tempo real e prevenção de ataques no ciber espaço Francisco Fonseca - CEO 08/01/2013 AnubisNetworks StreamAPI

2 Áreas de Atuação Security Mail Protection Services Appliances e Serviço Gerido Plataforma para Telcos Mail Filtering Engine MailSpike Web Security Inteligência de Rede Web Protection Service myfamily Controle Parental StreamForce Cyberfeed Spike 2

3 MailSpike

4 Reputação IP

5 Reputação IP 5

6 Reputação IP Intelligence data

7 Informação Compartilhada

8 Motivação Inicial Plataforma de compartilhamento de informação para simplificar a forma como os sistemas contribuem e obtêm o valor de informações que estão presentes em vários sistemas 8

9 Ameaças de Segurança Ciber crime Ciber guerra Inteligência de Ameaças Foco em Partilha de Dados TEMPO REAL 9

10 Motivação Big Data Actionable Intelligence (Inteligência para tomada de decisão) Informação Interna e Externa AnubisNetworks StreamAPI 10

11 Oportunidades Alteração de paradigma no analytics Saber o que está acontecendo nas várias plataformas Obrigações legais (GRC, BACEN, etc ) Centros de Ciber Segurança Demanda por este tipo de tecnologia 12

12 Visão Streaming eventos de segurança em tempo real acessíveis através de API Relacionamento e agregação diferentes fontes de eventos de segurança públicas e privadas Adição de Valor Dados Originais => Transformar, ampliar, atribuir significado Disponibilizar as ferramentas e os dados necessários para obter informações em tempo real sobre as ameaças internas e externas AnubisNetworks StreamAPI 13

13 Visão 14

14 Big Picture

15

16 Marca Conteúdos Produto

17 Idade Etnia/Raça Feições

18 Marca Lojas de venda Materiais

19 Funcionalidades Produtor Fuso horário

20 Localização Ambiente Hora do dia

21

22 A perspectiva é importante

23

24 Excesso de Informação

25

26 Big Data Um admirável mundo novo Not (only) about storage 27

27 Big Data Os três V s Volume Variedade Velocidade 28

28 Big Data Os três V s Volume Estamos aqui Variedade Velocidade 29

29 Big Data Os três V s Volume Estamos aqui Variedade Velocidade 30

30 Big Data Os três V s Volume Estamos aqui Variedade Velocidade 31

31 Abordagem Tradicional vs Nova abordagem

32 Streaming for threat intelligence sharing Traditional approaches for information collection centralized intelligence Sensor Sensor Sensor Sensor 1Gbit 1Gbit 1Gbit 1Gbit 5Gbit Powerful Server on a Large Pipe?... Sensor 1Gbit AnubisNetworks StreamAPI 33

33 Streaming for threat intelligence sharing The Streaming approach (example) distributed intelligence Stream Stream Requested data (match criteria)? Stream Real time Streaming Stream Server Real time Streaming Stream Stream Sensors will return only entries that match your criteria Each returned record will only contain the data you requested (as opposed to returning the full entry). When the client is done with the data, all sensors and stream servers will get back to idle state (assuming no other clients are consuming the stream) AnubisNetworks StreamAPI 34

34 Streaming for threat intelligence sharing The Streaming approach (example) distributed intelligence Requested data (match criteria) Stream Stream Stream Requested data (match criteria) Stream Stream Requested data (match criteria) Stream? Stream Stream Sensors will return only entries that match your criteria Each returned record will only contain the data you requested (as opposed to returning the full entry). When the client is done with the data, all sensors and stream servers will get back to idle state (assuming no other clients are consuming the stream) AnubisNetworks StreamAPI 35

35 Modelos de Compartilhamento 36

36 Modelo tradicional (centralizado) ISPs Telecoms Social Media Incident Response Teams Security Organizations Emergency Response Teams Law enforcement agencies 37

37 Modelo descentralizado (peer to peer) ISPs Telecoms Social Media Incident Response Teams Security Organizations Emergency Response Teams Law enforcement agencies 38

38 Exemplo de Implementação AnubisNetworks StreamAPI 39

39 Arquitetura 40

40 Arquitetura Stream Server Events ProducerA Produtor A ProducerB Produtor B ( ) ProducerZ Produtor Z API Stream Engine Processor1 Processor2 (.) ProcessorN API Consumer Consumer Consumer Consumer 41 AnubisNetworks StreamAPI

41 Intelligent triggers (follow)

42 Intelligent triggers (follow) Stream API 43

43 Intelligent triggers (follow) Stream API 44

44 Intelligent triggers (follow) Stream API 45

45 Feeds Externas disponíveis Passive DNS on URI and IP DNS lookups Honeypot/trap data metadata URI tree only metadata Fast Flux networks Twitter feeds Shorteners and redirects IP Reputation changes Real time Malware analysis Real time suspicious web site analysis Real time live infections (trojans, worms) Open Source media estamos sempre adicionando novas feeds 46

46 Cenários de utilização e aplicações construídas em cima desta tecnologia 47

47 O problema das API s AnubisNetworks StreamAPI 48

48 Localizar a origem de um evento (qualquer feed) AnubisNetworks StreamAPI 49

49 Use Case: Monitorização de ataques de Spam Wave em tempo real 50

50 Monitorização de ataques de em tempo real 51

51 Use Case: Construção da Infra por trás de um ataque de 53

52 Infra por trás de um ataque de AnubisNetworks StreamAPI 54

53 Use Case: Detecção visual de anomalias 57

54 Detecção visual de anomalias (Link) AnubisNetworks StreamAPI 58

55 Use Case: Detecção de contas de Twitter enviando spam e distribuíndo malware 59

56 TweetSpike ( AnubisNetworks StreamAPI 60

57 Use Case: Detecção e visualização de atividade de Botnet em tempo real 61

58 Detecção e visualização actividade de botnets 62

59 Detecção e visualização actividade de botnets 63

60 Use Case: Detecção de snowshoe 66

61 Detecção de snowshoe 67

62 Use Case: Mapeando campanha Steve Jobs is not dead 68

63 Mapeando campanha Steve Jobs is not dead AnubisNetworks StreamAPI 69

64 Use Case: Homeland Security/ Border Control 70

65 Homeland Security / Border Control 71

66 Use Case: Tentativa de prever um potencial ataque do grupo Anonymous 72

67 Operation Track & follow Anonymous launches Operation Quebec, takes down 13 Quebec government and police websites 73

68 Cenário Fictício (Portugal), mesmo Modus Operandi (Link) Exemplo de aplicação sobre como utilizar as funcionalidades de track & Trace da StreamAPI para seguir e visualizar a preparação de um ataque dos Anonymous em tempo real Fases: Recrutamento Capacitação Canais utilizados: Utilização de canais de Open Media (pastebin) Capacitação (disponibilização dos ficheiros de configuração) Twitter Recrutamento e coordenação do ataque (comunicação) 74

69 LOIC Low Orbit Ion Cannon 75

70 Cenário Fictício (Portugal), mesmo Modus Operandi (Link) AnubisNetworks StreamAPI 76

71 Muito Obrigado! Francisco Fonseca 78