SCSP解决方案

实时分析服务器上的蛛丝马迹
主机操作系统 系统操作
系统、应用 和安全日志
1. 1. 2. 2. 3. 3.
如何工作
…
Core OS Services
DNA RPC Print Spooler
Application Services
…
Mail Web Database
系统日志 & Text Logs
设置
发送到管理控制台
13
阶段 IV
阶段III 阶段II 安全保护程度 阶段 I
监控 / 入侵检测
• 启用系统的IDS检测 功能，监控系统安 全状态的变化 • 实时文件完整性监 控功能对关键目录 文件进行监控审计
全面的系统保护
• 取消学习模式，开 启全面的服务器IPS 防护策略。
• 锁定系统资源访问， 记录安全状态，确 保服务器的整体安 全与高可用性。
3. Capture
捕获
监测和控制内部活动和敏感数据访问
4. Exfiltrate
泄漏
Critical System Protection Overview
反社会工程，取证，风险影响的缓解
33
Presentation Identifier Goes Here
4
阻止针对服务器 的内外部攻击
抵御APT攻击所使用的 各种黑客技术 对于新系统或遗留系统 提供补丁缓解功能 确保关键服务器的运行 维护时间的连续性
• 监控日志安全事件 • 加固并转发日志用 于归档及报告 • 智能的事件快速发 现与响应
• 锁定系统配置文件 和相关设置 • 增强系统安全策略 • 用户权限降级 • 阻止移动介质接入
Real-Time Visibility. Maximum Control.
S3 University Q3 FY12
7
Symantec Critical System Protection Solution
Detection
Prevention
锁定系统配置
监控配置文件 Key Security and Compliance Requirements 锁定文件及目录 Meeting
• 加固服务器面对零日攻击 监控文件及目录
Presentation Identifier Goes Here
17
Minimal overhead 极低的资源消耗 • Typical CPU Usage
– 1-3% depending upon policies used and the amount of IO usage on the system
交互式程序
Chrome Outlook CMD Etc.
大多数应用只需要有限 的资源以完成相关工作 但大多数程序拥有远远 超出其自身要求的资源， 恶意的入侵攻击常常利 用这些空隙
Files 文件系统及配置信息 Registry
Network
默认的服务及程序
为每一个程序集分配一 个沙箱，每个沙箱根据 策略的定义实现有限的 资源访问和行为控制
– No one was able to capture the flag!
– Last hacker wanted physical access to the system
– Nexpose found 10 exploited vulnerabilities
S3 University Q3 FY12
– Hackers/Pen-testers from DoD, NSA, DISA, Anonymous asked to “Capture the flag”
• Attacks Techniques used:
– Buffer overflow and thread injection
• Outcome:
SCSP关键系统保护
Presentation Identifier Goes Here
1
服务器常见攻击
• Abuse of user privileges
• Mis-configurations
• Exploit tool kits
applications
guest/vm image host
files
阻止异常的外部设备访问
8
恶意软件捕获系统中敏感数 据，修改系统安全配置
针对应用程序的缓冲区溢出 攻击，远程获取系统权限
打开了某恶意文件，或访问 某恶意链接
未授权的服务器访问
File Server
Email Server
Application Server
Web Server Domain Controller Server
15
关键系统防护软件部署建议
CSP管理服务器
Web 安全防护（配合并补充Web防火墙）
• • CSP可以提供对WEB应用日志的检测分析，从而从事后的角度判读针对WEB应用的攻击 CSP可以提供对应用服务器静态文件的保护，锁定文件放置被篡改，一方面是应用配置 文件保护，另一方面是应用服务器上的静态页面保护（网页防篡改）
未授权的权限及信息变更
Database Server
Internet
通过后门软件的未授权访问
SOURCE: NIST Guide to General Server Security
S3 Unห้องสมุดไป่ตู้versity Q3 FY12
9
监控或锁定配置文件 恶意软件捕获系统中敏感数 据，修改系统安全配置
监控或锁定应用与进程行为 针对应用程序的缓冲区溢出 攻击，远程获取系统权限
最大虚拟化 环境安全
加固并保障虚拟化基础 架构的安全，包括宿主 机、虚拟主机及管理服 务器的监控保护。 在极低的资源占用率下 最大化虚拟主机安全性
安全态势与合规 的实时可视性
实时的系统资源访问、 安全状态基线监控审计 减少PCI DSS, CIP-0073等标准的合规成本，根 据合规要求实施应用及 操作系统的加固
– 通过CSP对应用服务器的保护，所有系统中的服务与交互应用都可以被合理的控
制，系统被入侵的本质原因是操作系统赋予应用大于其所需的权利所导致，攻击 者通过利用这个空隙就可以实施攻击或扩大攻击范围。在CSP保护下所有常见应 用被控制只能访问被认可的资源，非常见应用被控制无法访问系统核心资源，如 操作系统内核。 – 在系统保护中CSP的另一个价值是不需要特征库的维护和极低的资源消耗，特别 适用在虚拟化环境下减少对资源的消耗。 – 同时CSP可减少系统补丁修补的成本，服务器进行补丁安装常常会导致不可预期 的后果，CSP保护下即使系统存在漏洞，但攻击利用漏洞的可能性将被大大降低。
16
Symantec Critical System Protection
操作系统层面防护、满足等级保护需求、加强主机安全型控制
– 通过CSP可以限制应用对系统资源的获取，通过限制WEB应用的限制控制，可以
确保及时WEB应用被攻击后，影响不会扩散在该主机或者数据中心其他服务器。
– CSP可以保护操作系统免受黑客入侵或恶意代码攻击，例如，可以防止线程注入 攻击、缓冲区溢出攻击，防止ActiveX控件的安装，防止可执行文件被修改等等。
S3 University Q3 FY12
5
检测告警
入侵检测系统 (IDS)
网络保护
• 基于应用限制网络 连接使用 • 限制由内向外和由 外向你的网络流 • 关闭恶意软件后门( 阻断端口)
系统控制
入侵防护系统 (IPS)
攻击防护
• 限制应用程序及操 作系统行为 • 阻止系统缓存区溢 出及线程注入攻击 • 零日攻击入侵保护 • 应用及进程控制
• Memory
– Windows - typically 25-40MB – Unix – typically 40-80MB
• Disk space
– Requires a minimum of 100MB disk space – Additional disk space may be used if agent log files are not purged periodically
学习模式(Log only)
• 启用外置的服务器保 护功能，并开启学习 模式，只记录日志不 进行实质阻断 • 根据策略违反日志将 系统的实际属需的安 全策略添加到允许规 则中去。形成服务器 独立防护策略
特定目标的保护
• 使用特定的入侵防 护规则，在指定的 用户场景下 • 利用基本的IPS规则， 在无误报产生的前 提条件下开启
Critical System Protection Deep Dive
阻止未授权的可执行程序 打开了某恶意文件，或访问 某恶意链接
监控访问权限的变化
未授权的服务器访问
File Server
Email Server
Application Server
Web Server Domain Controller Server
未授权的权限及信息变更 监控或阻止访问的变更
Database Server
创建、修改、删除 设置
…
Email Client Office Browser
文件
创建、修改、删除 文件
Interactive Programs
defines acceptable 一旦满足策略，产生动作 behavior
记录事件到本地的SCSP日志
Symantec 收集器收 Symantec 集事件， IPS 并且同 creates aIDS “shell” 签名库（或 around each 自定义签 program 名）进行 & service 比较 that
Operating system