Cisco Advanced Malware Protection

Transcript

1 Panoramica della soluzione Cisco Advanced Malware Protection Prevenzione, rilevamento, risposta e risoluzione delle violazioni per il mondo reale VANTAGGI Accesso a un'intelligence unica sulle minacce a livello globale per una prima linea di difesa più solida Massima visibilità sull'origine e sulla portata delle compromissioni Possibilità di rilevare rapidamente il malware, accelerando tempi di risposta e interventi di correzione Prevenzione di dispendiose reinfezioni e scenari di correzione Protezione universale (per rete, endpoint, dispositivi mobili, e Web) prima, durante e dopo l'attacco Il malware avanzato è in grado di agire in modo furtivo e persistente e può eludere i sistemi di difesa tradizionali. Mette in serie difficoltà i team addetti alla sicurezza. Le tecnologie di cui questi ultimi dispongono, infatti, non garantiscono i livelli di controllo e visibilità necessari per rilevare ed eliminare rapidamente le minacce prima che possano arrecare danno. Le aziende sono sotto attacco e le violazioni alla sicurezza sono al centro dell'attenzione dei media. La comunità globale dei hacker sta creando malware avanzato per introdurlo nelle aziende mediante una serie di vettori di attacco. Questi attacchi multiformi e mirati possono eludere anche i migliori strumenti point-in-time. Sono strumenti che ispezionano il traffico e i file al punto di accesso nella rete, ma offrono scarsa visibilità sull'attività delle minacce che riescono a evadere il rilevamento iniziale il primo livello di rilevamento. I professionisti della sicurezza non hanno modo di visualizzare l'ambito della potenziale compromissione e non sono quindi in grado di rispondere rapidamente per contenere il malware prima che provochi danni ingenti. La soluzione di sicurezza Cisco Advanced Malware Protection (AMP) colma queste lacune, andando a coprire l'intero ciclo di vita del problema del malware avanzato. Oltre a consentire di prevenire le violazioni, offre altresì il controllo e la visibilità necessari per rilevare velocemente le minacce non segnalate dal primo sistema di difesa, limitarne l'azione e porvi rimedio. Il tutto senza costi eccessivi né conseguenze per l'efficienza operativa Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Il presente documento contiene informazioni pubbliche di Cisco. Pagina 1 di 6

2 Panoramica di Cisco Advanced Malware Protection AMP è una soluzione di classe enterprise integrata, basata sull'intelligence per l'analisi del malware avanzato. Garantisce protezione completa per l'azienda in tutto il corso dell'attacco: prima, durante e dopo. Prima di un attacco AMP usa l'intelligence sulle minacce a livello globale provenienti da Cisco Collective Security Intelligence, Cisco Talos Security Intelligence and Research Group e dai feed di AMP Threat Grid per potenziare le difese e attivare la protezione da minacce note ed emergenti. Nel corso dell'attacco AMP combina tali informazioni con firme di file note e con la tecnologia di analisi dinamica del malware di Cisco AMP Threat Grid per individuare e bloccare le tipologie di file e i tentativi di exploit che violano le policy nonché i file dannosi che tentano di infiltrarsi nella rete. Al termine dell'attacco, oppure dopo la prima analisi di un file, la soluzione non si limita più al rilevamento point-in-time, ma monitora ed esamina in modo continuativo tutte le attività e tutto il traffico relativi al file stesso, indipendentemente dal suo comportamento, alla ricerca di indicazioni di possibili rischi. Se un file sconosciuto o ritenuto innocuo a un certo punto mostra comportamenti sospetti, AMP lo rileva e segnala immediatamente ai team di sicurezza una possibile compromissione. Prevede inoltre una visibilità senza precedenti sull'origine del malware, sui sistemi colpiti e sulle attività in corso. Consente poi di rispondere rapidamente all'intrusione e di porvi rimedio con pochi clic. I team che si occupano della sicurezza dispongono pertanto dei livelli di controllo e visibilità di cui hanno bisogno per accelerare il rilevamento degli attacchi, valutare l'entità della compromissione e arginare il malware prima che arrechi danno. informazioni sulle minacce a livello globale e analisi dinamica del malware AMP si basa su informazioni di sicurezza e funzioni di analisi dinamica del malware di prima qualità. Nel settore, infatti, non esiste un database in tempo reale delle minacce e di analisi dei big data completo ed efficiente come quello rappresentato dall'ecosistema Cisco Collective Security Intelligence, da Cisco Talos Security Intelligence and Research Group e dai feed di AMP Threat Grid. I dati vengono trasmessi dal cloud al client AMP in modo che l'azienda possa usufruire delle informazioni più aggiornate per difendersi dalle minacce con un approccio proattivo. Vantaggi per le aziende: 1,1 milioni di campioni di malware ricevuti ogni giorno 1,6 milioni di sensori globali 100 TB di dati al giorno 13 miliardi di richieste Web 600 tra ingegneri, tecnici e ricercatori Operatività 24 ore su 24 File, comportamenti, dati telemetrici e modelli di attività vengono esaminati in relazione a questa solida knowledge base con un ricco compendio contestuale allo scopo di rilevare il malware nel più breve tempo possibile. La funzione di analisi automatica di AMP conferisce un vantaggio per i team addetti alla sicurezza, in quanto taglia i tempi della ricerca delle violazioni e dispone sempre delle informazioni più aggiornate sulle minacce per identificare anche gli attacchi più sofisticati, assegnandovi una priorità, e bloccarli. Di seguito vengono riportati ulteriori benefici di cui si può usufruire integrando la tecnologia Cisco Threat Grid in AMP: Feed di informazioni accuratissimi e ricchi di contesto disponibili in formati standard e compatibili con le tecnologie di sicurezza esistenti. Miliardi di modelli generati analizzando ogni mese milioni di campioni sulla base di oltre 350 artefatti. Un intuitivo sistema a punteggi semplifica l'assegnazione della priorità alle minacce Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Il presente documento contiene informazioni pubbliche di Cisco. Pagina 2 di 3

3 Una volta acquisita tutta l'intelligence e i dati, AMP informa i responsabili delle decisioni in materia di sicurezza oppure interviene automaticamente. Ad esempio, grazie a informazioni costantemente aggiornate, il sistema è in grado di bloccare il malware conosciuto e le tipologie di file che violano le policy, di elaborare blacklist dinamiche delle connessioni di comprovata dannosità e di impedire il download di file da siti Web e domini considerati pericolosi. Analisi continua e sicurezza retrospettiva Nella maggior parte dei casi l'analisi dei file eseguita dai sistemi antimalware di rete o basati su endpoint si limita al momento in cui i file stessi attraversano un punto di controllo all'interno della rete. Non va oltre. Il malware, tuttavia, oltre a essere sofisticato, ha anche una straordinaria capacità di eludere le prime fasi di rilevamento, ad esempio mediante tecniche di sleeping o di polimorfismo, crittografia e protocolli sconosciuti. In genere, le violazioni più gravi della sicurezza hanno luogo perché non ci si può difendere da quello che non si vede. Ed è esattamente ciò che accade ai team di sicurezza, che non si accorgono della minaccia nel punto di accesso né in seguito. Non hanno la visibilità per rilevarla rapidamente e, nel giro di pochissimo tempo, il malware ha centrato il proprio obiettivo e il danno è fatto. Cisco AMP è diverso. Riconoscendo che le tecniche preventive di rilevamento e blocco point-in-time non sono completamente efficaci, il sistema esamina nel continuo file e traffico anche dopo l'analisi iniziale. AMP monitora, analizza e registra tutta l'attività dei file e le comunicazioni su endpoint, dispositivi mobili e nella rete per scoprire rapidamente le minacce subdole che mostrano un comportamento sospetto o dannoso. Al primo segno di pericolo, invia ai team addetti alla sicurezza avvisi retrospettivi completi di informazioni dettagliate sul comportamento della minaccia. In questo modo è possibile rispondere a domande fondamentali, tra cui: Da dove è venuto il malware? Quale tecnica e quale punto di accesso ha utilizzato? Quale percorso ha seguito e quali sistemi ha colpito? Che comportamento ha e ha avuto la minaccia? Come può essere arrestata la minaccia ed eliminarle la causa principale? Usando queste informazioni, i team di sicurezza comprendo cosa è successo e, in risposta, usano le funzioni di contenimento e correzione di AMP. Con pochi clic sulla console di gestione di AMP, che è basata su browser ed è semplice da usare, gli amministratori riescono a contenere il malware, bloccando il file e impedendogli di attivarsi nuovamente su un altro endpoint. Inoltre, conoscendo in dettaglio il percorso seguito dal file, AMP può estrarlo dalla memoria e metterlo in quarantena per tutti gli altri utenti. In caso di intrusione, quindi, i team di sicurezza non sono più costretti a ricreare completamente immagini di interi sistemi per rimuovere il malware. Quindi si risparmia tempo, denaro e risorse e si evita di turbare funzioni business critical. AMP elimina il malware con precisione chirurgica, senza danneggiare i sistemi IT né l'attività aziendale. La forza dell'analisi continua, del rilevamento continuo e della sicurezza retrospettiva risiede nella capacità di tenere traccia dell'attività di ogni singolo file all'interno del sistema e, se un file apparentemente innocuo diventa dannoso, la variazione viene rilevata e viene esaminata la cronologia per risalire all'origine della minaccia e del relativo comportamento. AMP fornisce quindi una risposta integrata e capacità di correzione per eliminare la minaccia. AMP, inoltre, conserva memoria di quanto rileva, dalla firma della minaccia al comportamento del file, registrando tali informazioni nel proprio database per consolidare ulteriormente la difesa e impedire che questo e altri file simili eludano nuovamente il rilevamento iniziale Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Il presente documento contiene informazioni pubbliche di Cisco. Pagina 3 di 3

4 Finalmente i team addetti alla sicurezza hanno accesso ai livelli di controllo e visibilità di cui hanno bisogno per rilevare gli attacchi e identificare il malware nascosto in modo rapido ed efficiente. Comprendono e circoscrivono le compromissioni. Contengono e pongono rapidamente rimedio al malware (anche gli attacchi zero-day) prima che sia arrecato danno e prevengono attacchi analoghi. Caratteristiche principali Le funzionalità di analisi continua e sicurezza retrospettiva di AMP si basano su solide caratteristiche: Indicatori di compromissione (IoC): gli eventi telemetrici e legati ai file vengono correlati e ne viene impostata la priorità come potenziali violazioni attive. AMP mette automaticamente in correlazione tra loro i dati sugli eventi di sicurezza multisource, ad esempio intrusioni ed eventi malware, che i team di sicurezza possono collegare ad attacchi coordinati su più vasta scala, dando inoltre priorità agli eventi ad alto rischio. Reputazione dei file: vengono raccolti dati analitici avanzati e intelligence collettiva per stabilire se un file è pulito o dannoso, consentendone un rilevamento più accurato. Analisi dinamica del malware: in un ambiente estremamente sicuro è più facile eseguire, analizzare e testare il malware per rilevare minacce zero-day precedentemente sconosciute. Grazie all'integrazione delle tecnologie sandbox e di analisi dinamica del malware di AMP Threat Grid nelle soluzioni AMP, è possibile eseguire analisi più complete sulla base di una gamma più vasta di indicatori di comportamento. Rilevamento retrospettivo: vengono inviati avvisi se la disposizione del file cambia dopo un'approfondita analisi, fornendo informazioni e visibilità sul malware che elude le difese iniziali. Traiettoria dei file: tenendo costantemente monitorati nel tempo gli spostamenti dei file all'interno dell'ambiente, si ottiene un livello di visibilità adeguato ed è possibile stabilire più rapidamente l'entità di una violazione riconducibile a malware. Traiettoria dei dispositivi: traccia nel continuo l'attività e la comunicazione a livello di dispositivi e di sistema per comprendere rapidamente le cause prime e la cronologia degli eventi che provocano una compromissione e che si verificano in seguito. Ricerca elastica: una funzione di ricerca flessibile e intuitiva destinata a file, informazioni telemetriche e dati collettivi sulla sicurezza per comprendere rapidamente il contesto e la portata dell'esposizione a un IoC o a un'applicazione dannosa. Prevalenza: tutti i file eseguiti a livello aziendale vengono visualizzati a partire da quello con il grado di prevalenza più basso per identificare minacce precedentemente non rilevate che hanno interessato un numero ridotto di utenti. È infatti possibile che i file eseguiti solo da pochi utenti siano applicazioni dannose (ad esempio minacce avanzate persistenti mirate) o comunque sospette che è opportuno evitare che finiscano nella rete. IoC negli endpoint: gli utenti possono inviare i propri IoC per intercettare attacchi mirati. Grazie a questi IoC a livello degli endpoint, i team che si occupano della sicurezza possono studiare in maniera più approfondita le minacce avanzate meno note specifiche delle applicazioni presenti nel proprio ambiente. Vulnerabilità: viene mostrato un elenco di software vulnerabile nel sistema, gli host su cui risiedono e quelli maggiormente a rischio di compromissione. AMP utilizza l'intelligence sulle minacce e i dati analitici sulla sicurezza per identificare non solo il software vulnerabile preso di mira dal malware, ma anche il potenziale exploit, indicando in ordine di priorità gli host a cui applicare patch. Controllo degli attacchi: viene garantito un controllo sui file sospetti o sugli attacchi e viene posto rimedio all'infezione senza dover attendere l'aggiornamento dei contenuti. Caratteristiche della funzione di controllo degli attacchi: È possibile bloccare rapidamente un determinato file in tutti i sistemi o in quelli selezionati con semplici rilevamenti personalizzati Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Il presente documento contiene informazioni pubbliche di Cisco. Pagina 4 di 3

5 È possibile bloccare famiglie di malware polimorfo utilizzando firme personalizzate avanzate. Gli elenchi di blocco delle applicazioni consentono di impostare policy, di arginare un'applicazione compromessa impiegata come gateway per il malware e di interrompere il ciclo di reinfezione. Grazie a whitelist personalizzate, le applicazioni sicure, personalizzate o mission critical rimangono in esecuzione sempre e comunque. La correlazione del flusso di dispositivi interrompe all'origine le comunicazioni di callback del malware, in particolare per gli endpoint remoti esterni alla rete aziendale. Opzioni di implementazione per una protezione completa Gli hacker sferrano i propri attacchi ai danni delle aziende da una serie di punti di accesso. Un approccio veramente efficace per intercettare gli attacchi furtivi richiede visibilità sul maggior numero possibile di vettori di attacco. Pertanto la soluzione AMP può essere implementata su diversi punti di controllo nella rete estesa. L'azienda può implementare la soluzione nelle modalità e nei punti che preferisce a seconda delle proprie esigenze specifiche di sicurezza. Tra le opzioni figurano: Nome prodotto Cisco AMP per endpoint Cisco AMP per reti Cisco AMP su ASA con FirePOWER Services Appliance virtuale per cloud privato Cisco AMP Cisco AMP su CWS, ESA o WSA Cisco AMP Threat Grid Dettagli Protezione di PC, Mac, dispositivi mobili e ambienti virtuali con il connettore lightweight di AMP senza compromettere le prestazioni per gli utenti. AMP può essere implementato come soluzione basata sulla rete integrata nelle appliance di sicurezza Cisco FirePOWER NGIPS. Implementazione delle funzionalità di AMP integrate nel firewall Cisco ASA. È possibile implementare AMP come soluzione on-premise isolata, appositamente progettata per aziende con requisiti di privacy elevati che limitano l'utilizzo di un cloud pubblico. Con Cisco Cloud Web Security (CWS), Security Appliance (ESA) o Web Security Appliance (WSA), è possibile attivare le funzionalità di AMP per usufruire di servizi retrospettivi e analisi del malware. Analisi dinamica del malware più efficiente grazie all'integrazione di AMP Threat Grid con Cisco AMP. AMP Threat Grid, inoltre, può essere implementato come soluzione standalone per l'analisi dinamica del malware e per acquisire informazioni sulle minacce. Perché scegliere Cisco? Non si tratta più di stabilire se una violazione avrà luogo, ma quando. Il rilevamento point-in-time da solo non è mai efficace al 100% per rilevare e bloccare gli attacchi in maniera preventiva. Il malware avanzato e gli hacker che lo creano sono in grado di eludere le difese point-in-time, compromettendo l'azienda in qualsiasi momento. Anche se il 99% delle minacce viene bloccato, una sola minaccia è sufficiente per provocare una violazione della sicurezza. Quindi, in caso di violazione, l'azienda deve essere preparata con strumenti atti a rilevare velocemente l'intrusione, reagire e porvi rimedio. Cisco AMP è una soluzione di classe enterprise integrata, basata sull'intelligence e progettata per l'analisi del malware avanzato e la protezione. Oltre a fornire un'intelligence sulle minacce a livello globale per potenziare le difese della rete, è dotato di motori di analisi dinamica che bloccano i file dannosi in tempo reale e permette di monitorare e analizzare in modo continuativo e completo i file in termini di comportamenti e di traffico. Queste funzionalità assicurano una visibilità senza precedenti sull'attività potenziale delle minacce e il controllo necessario per rilevare, contenere ed eliminare il malware tempestivamente. L'azienda è protetta prima, durante e dopo l'attacco. La soluzione può anche essere implementata nelle aziende estese, su rete, endpoint, dispositivi mobili, e gateway Web, oltre ad ambienti virtuali, per conferire maggiore visibilità su punti di accesso cruciali. Può essere implementata nelle modalità e sui punti necessari a seconda delle esigenze specifiche di sicurezza dell'azienda Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Il presente documento contiene informazioni pubbliche di Cisco. Pagina 5 di 3

6 Fasi successive Per ulteriori informazioni su Cisco AMP o per dimostrazioni di prodotti, testimonianze di clienti e convalide da parte di terze parti, visitare la pagina Web Stampato negli Stati Uniti C / Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Il presente documento contiene informazioni pubbliche di Cisco. Pagina 6 di 3