Breach Detection, Intelligence & Response: What works

Transcript

1 Breach Detection, Intelligence & Response: What works Francesco Faenzi, GCIH CISSP CISA Head of Security Practice Cybersecurity Summit, 9 aprile 2014 Copyright 2014, Lutech Spa

2 Sommario Lo stato della Detection & Response What does not work #1 What does not work #2 Managed Defense Services by Lutech I servizi L'evoluzione What works by Lutech : Lutech TMS/BDIR Elementi distintivi della Managed Defense La piattaforma Delivery & Erogazione della Managed Defense It's a journey 2

3 Lo stato della Detection & Response Verizon Data Breach Investigation Report

4 What does not work #1 Verizon Data Breach Investigation Report

5 E' necessario un cambiamento In Cyber, Losers Ignore, Survivors React and Winners Predict - Richard Stiennon (Gartner & Forbes.com) Casual Attacker power grows at the rate of Metasploit - HD Moore (Rapid7 and Metasploit, CTO) There is no longer a window to patch when a vulnerability or exploit is discovered, in public or private - Mike Reavey, Director of the Microsoft Security Response Center 5

6 Una nuova logica basata sulla Kill Chain Lockheed Martin Corp. Cyber Kill Chain The essence of an intrusion is that the aggressor must develop a payload to breach a trusted boundary, establish a presence inside a trusted environment, and from that presence, take actions towards their objectives, be they moving laterally inside the environment or violating the confidentiality, integrity, or availability of a system in the environment. The intrusion kill chain is defined as reconnaissance, weaponization, delivery, exploitation, installation persistance & lateral move, command and control (C2) and actions on objectives (act and exfiltrate). 6

7 La logica di Lutech basata sulla Kill Chain Le esigenze di security nell'ambito della Reference Architecture si indirizzano secondo metodi, tecnologie e competenze (in termini ITIL "Process, Product, People") differenti in funzione del Life Cycle. L'Anticipation comprende assessment, penetration test, data classification, risk e business impact analysis, remediation plan, sia in forma di terza parte (forma consulenziale) sia come processi interni, ovviamente anche con il supporto di tecnologie abilitanti. L'Anticipation riguarda anche l'utilizzo di sistemi di security intelligence & early warning per poter focalizzare meglio le fasi successive. L'Enforcement riguarda la progettazione, predisposizione e l'operation (con relative procedure) delle classiche regole o "barriere" di sicurezza. La Detection si focalizza sul rilevamento di anomalie e intrusioni, le operation delle tecnologie abilitanti e soprattutto l'analisi delle evidenze raccolte a diversi livelli di approfondimento ed expertise al fine di determinare le security breach ed innescare la fase successiva. La Response comprende i processi di risposta agli incidenti di sicurezza, dal contenimento degli effetti all'individuazione delle cause e degli eventuali effetti collaterali e infine al ripristino della normale operatività 7

8 What does not work #2 Target was prepared for such attack. More than one security devices spotted them. Bangalore got an alert and flagged the security team in Minneapolis. And then Nothing happened. - Bloomberg Businessweek (March 13th 2014) - Committee of Commerce Report, US Senate (March 26th 2014) 8

9 E' necessario un cambiamento Human and budget resources devoted to IT security are barely increasing at all. Enterprises are looking toward security services to help them handle some elements of their defense. Tomorrow's SOC will spend more time working with security service providers and less time in "do it yourself" activities. - Darkreading SOC 2.0 9

10 Managed Defense Services > I Servizi SOC NG SOC Cyber Threat Mgmt Services Networks Next Generation Data Center Security Applications External World Log Collection & Retention Security Reporting Security Device Management Security Monitoring, Breach Detection,Intelligence & Response Cyber Threat Intelligence Phishing Early Warning & External Data Leakage Monitoring Zero-day Early Warning Website Malware Monitoring & Watersholing Exposure Monitoring 10

11 11 Managed Defense Services > L'evoluzione

12 What works by > Lutech TMS/BDIR: Elementi distintivi Lutech Threat Management System / Breach Detection, Intelligence & Response è un Servizio di Managed Defense caratterizzato da Utilizzo di soluzioni Big Data made in Apache Foundation caratterizzate da database nosql (schemaless) e distribuiti, grazie ai quali si ottiene rapidità nella ricerca, distribuzione dei dati e alta affidabilità Asset Inventory, Asset Criticality e Attack Surface Map 12 Logiche di detection Detection basate su principi di Kill Chain Componente di Detection integrata by Snort/Sourcefire capace di rilevare Intrusion, Low & Slow, Advanced Malware, Data Leakage Cisco Sourcefire VRT advanced threat research experience Cyber Threat Intelligence con arricchimento della Detection con fonti di Reputation, Malware, OIC, Id & Data Theft, ecc. fornite anche dal Cisco Security Intelligence Operations Ricerche full text all interno del Big Data per verifica delle Breach o attività forense, con capacità di aggregazione e di statistica sugli eventi collezionati Engine di correlazione profondamente integrato con la Detection, di analisi statistica e behavioural, di visualizzazione e di machine learning

13 13 What works by > Lutech TMS/BDIR: Deployment possibili

14 14 What works by > Lutech TMS/BDIR: Piattaforma

15 15 What works by > Lutech TMS/BDIR: Service Delivery & Erogazione

16 It's a journey Si continua a parlare insieme di Breach Detection, Intelligence & Response Workshop Formativo Full-day Roma Giugno 2014 organizzato da 16

17 Dove siamo Direzione e Sede Operativa Via W.A. Mozart 47, Cologno Monzese (MI) Tel Fax Sede di Roma Via A. Mantegna 4, Parco Leonardo Fiumicino (RM) Tel Fax Altre sedi in Italia: Milano, Modena, Firenze, Bari, Agrigento nel Mondo: Lutech UK: Nucleus Innovation Centre The Bridge - United Kingdom DA1 5GA Phone info@lutech.it Web