XGen e Connected Threat Defense. Dezembro 2016 Raphael Bottino

Transcrição

1 XGen e Connected Threat Defense Dezembro 2016 Raphael Bottino <Raphael_Bottino@trendmicro.com>

2 Resolvendo problemas de verdade Dinâmica da TI Dor das empresas Ameaças cada vez mais sofisticadas Recuperar-se de ataques de alto impacto Migração para nuvem Defesas existentes inefetivas 2 Comportamento do usuário Complexidade & falta de visibilidade

3 Gartner Magic Quadrant for Endpoint Protection Platforms Fevereiro de 2016 Esse gráfico foi publicado pela Gartner, inc. como parte de um document de pesquisa maior e deve ser considerado no context de todo o document. O document da Gartner pode ser disponibilizado sob consulta em: Magic-Quadrant-Endpoints.html

4 Não há bala de prata A história tem mostrado claramente que nenhuma abordagem única terá sucesso em impedir todos os tipos de ataques de malware. Organizações e provedores de solução têm que usar uma abordagem adaptativa e estratégica para proteção de malware. 4 - Gartner EPP Magic Quadrant 2016

5 Server Security Breach Detection Endpoint Protection Platforms Office 365 Security Gateway Categoria dos Produtos Web Gateway Vulnerability Shielding Lateral Movement Prevention Network Traffic Scanning Lateral Movement Prevention Malware Sandbox Análise de Comportamento Machine Learning Vulnerability Shielding Spear phishing Protection IP/Web Reputation Malware Sandbox Técnicas de Proteção 5

6 OfficeScan XG PROTEÇÃO PARA O ENDPOINT 6

7 Mistura de técnicas de defesa que ultrapassam o conceito de next-gen Gen TM Inteligentemente aplica a melhor técnica para a ocasião Alimentado pela Smart Protection Network 7

8 Respostas Inovadoras e em Tempo para um Panorama de Ameaças Evoluídas Antimalware Antispyware Personal Firewall Web Reputation Host-based IPS Data Loss Prevention File Reputation Behavioral Analysis Whitelisting Check Data Encryption Variant Protection Exploit Prevention Census Check High-Fidelity Machine Learning Sandbox Analysis Application Control Investigation & Forensics (EDR) 25+ anos de inovação! 8

9 Prós e Contras das Novas Técnicas Whitelisting de Aplicações Análise Comportamental Bloqueia os apps desconhecidos Reconhece comportamento Apenas pára EXEs Alto uso de CPU Proteção contra Vulnerabilidades Bloqueia vulnerabilidades que ameaças exploram Não bloqueia ameaças que não exploram vulnerabilidades Machine Learning Detecta EXEs Taxa mais alta de falsopositivo, precisa ser treinado com tipos específicos de arquivos Combine as técnicas para ter o melhor de todos os mundos. 9

10 Machine Learning vs Análise de Comportamento 10

11 LEGENDA A técnica certa no momento certo Com sua composição de técnicas de defesa de várias gerações incluindo machine learning de alta fidelidade, Trend Micro XGen endpoint security está sempre se adaptando para identificar e derrotar novos ransomwares e outras ameaças desconhecidas. Conhecido bom Conhecido mau Rep. arquivo/web Prevenção exploit Application Control Proteção variantes Desconhecido Noise Cancellation Machine Learning pré-execução Análise de comportamento Arquivo nãomalicioso Machine-learning execução Arquivo malicioso bloqueado

12 Connected Threat Defense: Proteção melhor e mais ágil Habilite respostas rápidas por meio de inteligência compartilhada de ameaças Avalie vulnerabilidades potenciais e proteja proativamente os endpoints, servidores e aplicações RESPONDA PROTEJA Ganhe visibilidade central entre os sistemas e avalie o impacto das ameaças DETECTE Detecte malware, comportamento e comunicações avançadas que seriam invisíveis para defesas padrão 12

13 Deep Discovery Analyzer SANDBOX ABERTO E INTEGRADO 13

14 Deep Discovery Analyzer Endpoints Gateways Network Detecção de Malwares avançados e Ramsonware Sandbox customizável Relatório de análise detalhada API Aberta Compartilhamento inteligência via Indicadores de comprometimento (IOC) Melhor proteção para produtos Trend Micro e para terceiros 14

15 Deep Discovery Analyzer Resultados/Reports são enviados para o Sistema requerente. Baseado no risco Altamente configurável Listas negras atualizadas automaticamentes para que ataques similares sejam impedidos no futuro. Interscan Web Security API Third Party Interscan Messaging Security Deep Discovery Analyzer SIEM Integrações disponíveis para enviar dados de ameaça para SIEMs 15 Manual Submissions OfficeScan ScanMail Security

16 Segurança que se adapta automaticamente Visibilidade & Controle centrais 1. Malware avançado tenta infectar um endpoint com OfficeScan XG instalado; 2. O mesmo é enviado para o Deep Discovery Analyzer para análise; 3. O DDAn determina que o arquivo, de fato, é potencialmente malicioso; 4. Uma ordem de bloqueio é enviada para os endpoints e outros; 5. Investigação futura determina se e onde a ameaça se espalhou 16

17 Deep Discovery Analyzer Objetos suspeitos que forem descobertos pelo OfficeScan, InterScan Web/Messaging e Scanmail são enviados para para o Analyzer Analyzer oferece uma API Web que permite produtos de terceiros submeterem objetos suspeitos para o Analyzer Interscan Web Security API Third Party Interscan Messaging Security Deep Discovery Analyzer Os administradores também têm o poder de enviar samples manualmente para o Analyzer. 17 Manual Submissions OfficeScan ScanMail Security

18 Segurança em camadas elimina gaps Adicional ao XGen Endpoint Security: Smart Protection Complete Smart Protection for Endpoints inclui DLP, controle de dispositivos, mobile Smart Protection Complete adiciona proteção nos gateways Protege usuários dentro/fora da rede Compartilhame nto em Cloud Gateway Servidor de Office 365 DLP Smart Protection for Endpoints Mobile Gerenciamento, visibilidade e compartilhamento de inteligência centrais File servers SharePoint Mensagens instantâneas Gateway web Criptografia Controle de devices 18

19 Control Manager VISIBILIDADE CENTRALIZADA E AUTOMAÇÃO 19

20 Visibilidade centralizada e automação Console única para soluções de endpoint e gateway - seja onpremise ou na cloud Dashboard visual dá uma visão holística e ajuda a priorizar ações Visão das detecções de usuários numa timeline de ameaças e ferramentas forenses simplificam a investigação de ameaças Compartilhamento de Objetos Suspeitos 20

22 Visibilidade, investigação e gerenciamento baseados no usuário 22

23 Obrigado! PERGUNTAS? 23

24 Técnicas de detecção Prós e Contras Prós Contras Antivírus tradicional Altíssima performance Não detecta ameaças desconhecidas Análise comportamental Reconhece comportamento Alto uso de recursos Machine Learning pré-execução Detecta executáveis Taxa mais alta de falso-positivo, precisa ser treinado com tipos específicos de arquivos Machine Learning em execução Reconhece comportamento Taxa mais alta de falso-positivo Whitelisting de aplicações Proteção contra vulnerabilidades Proteção Web Investigação / Forense (EDR) Bloqueia todas aplicações não permitidas Bloqueia vulnerabilidades que ameaças exploram Bloqueia sites maliciosos e conteúdos maliciosos em sites Insight no histórico e superfície das infecções Somente bloqueia executáveis Não bloqueia ameaças que não exploram vulnerabilidades Somente funciona para sites Reativo. Não bloqueia por si só. Sandboxing Disseca completamente o arquivo Técnicas de evasão 24

25 Better Detection - Key Features Custom Sandboxes Custom sandbox images precisely match your desktop and server environments (language, OS, configuration, installed apps) Accurately detect threats and ransomware Compared to standard sandbox, cannot be evaded Macintosh sandboxing available through cloud based option Live Mode is a safe external access allowing identification and analysis of multi-stage downloads, URLs, Command & Control, etc. Broad Analysis Engines Multiple detection engines and correlation rules analyze a wide range of file types and URLs to detect all attack aspects not just malware File, web, IP, Mobile application reputation Heuristic analysis Advanced Threat scanning Correlated threat intelligence

26 Better Detection - Key Features Ransomware Detection Known Threats: pattern and reputation Ransomware filter can detect ransomware before costly encryption Sandbox analysis detects mass file modifications, encryption behaviour & modifications to backup restore. Correlated Threat Intelligence Real-time cloud intelligence & research powers detection accuracy and continuously updates engines and rule sets. Local threat intelligence is quickly correlated with global threat intelligence

27 Prós e Contras das Novas Técnicas Whitelisting de Aplicações Análise Comportamental Bloqueia os apps desconhecidos Reconhece comportamento Apenas pára EXEs Alto uso de CPU Proteção contra Vulnerabilidades Bloqueia vulnerabilidades que ameaças exploram Não bloqueia ameaças que não exploram vulnerabilidades Machine Learning Detecta EXEs Taxa mais alta de falsopositivo, precisa ser treinado com tipos específicos de arquivos Combine as técnicas para ter o melhor de todos os mundos. 27

28 Machine Learning 28

29 O que é Machine Learning? Modelos matemáticos que podem ser usados para, dentre outras aplicações, a Segurança Utiliza esses modelos para determinar se o arquivo é bom ou malicioso Ideal para executáveis maliciosos desconhecidos Extrai as funcionalidades dos arquivos Os modelos são constantemente treinados e aprendem dos dados conhecidamentes bons e ruins para manter sua precisão 29

30 O que é Machine Learning? Importante escolher funcionalidades com a maior fidelidade Necessita-se de muita Informação e pesquisadores para descobrior as mais precisas e eficientes Alguns machine learning olham para uma lista infinita de funcionalidades Costuma apresentar um número mais alto de falsos positivos. 30

31 Machine Learning Evoluído Detecção de SPAM 2005 eputação e categorização de URL Detecção de ameaça baseada em arquivos Endpoints Outubro 2016 Contas maliciosas de redes sociais

32 Machine Learning de alta precisão Usa algoritmos matemáticos para prever se um arquivo é bom ou mau Abordagem única de alta previsão Machine Learning de pré-execução Extrai características estáticas Reduz o risco de dano Pode não detectar códigos ofuscados Machine Learning de execução Extrai características de comportamento Detecta códigos ofuscados Finaliza processos maliciosos durante a execução 32 Noise-Cancellation para redução de falsos positivos: Census e Whitelist

33 Precisão dos algoritmos de ML é determinada por Qualidade e Volume dos dados de treinamento Global Threat Intelligence 100 TB analisados/dia 500k novas ameaças/dia 800M+ whitelist de arquivos 100s de milhões de sensores Pesquisadores de ameaças 450 pesquisadores Pesquisa de ciclo de vida e distribuição de ameaças 3k+ pesquisadores externos de vulns. & exploits 33

34 Mais Detecção de Ameaças Desconhecidas Análise Comportamental Monitorando mudanças inesperadas no SO, apps e scripts, incluindo inspeção em memória Detecção de Ransomware Detecta e para a criptografia não autorizada de múltiplos arquivos Checagem Census Utiliza frequência e maturidade dos arquivos para determinar se os mesmos são suspeitos Prevenção de Exploit Detectação de comportamentos anormais, HIPS, host firewall, movimento lateral Proteção de Variante Desempacota arquivos em busca de fragmentos de malware conhecido Investigação e Forense (EDR) Endpoint security monitor that records detailed activities & allows for rapid assessment. 34

35 Diminua a carga da TI e dos usuários Menos falsos positivos, Mais performance eficiente Somente arquivos desconhecidos passam pelas técnicas que são: 35 Intensas em uso de CPU Abertas a mais falsospositivos Menos falsos positivos para TI gerenciar e performance mais eficiente para os usuários

36 Investigation / Forensics Modern Anti-Malware Data Protection Vulnerability Shielding Siloed protection: Behavior Monitoring / Sandboxing Application Control Central Visibility Hard 3

37 3 Investigation / Forensics Modern Anti-Malware Data Protection Vulnerability Shielding Behavior Monitoring / Sandboxing Application Control Central visibility helps, but manual correlation too difficult and slow!

38 Investigation / Forensics Modern Anti-Malware Data Protection Behavior Monitoring / Sandboxing Application Control Vulnerability Shielding A connected threat defense is required for timely, adaptive protection 3

39 Smarter Endpoint Protection with Rapid Response 1. Advanced malware infects an endpoint 2. Network inspection discovers advanced malware 3. Real-time signature pushed to endpoints 4. Investigation determines if and where the threat has spread All via central insight & control