Kaspersky Anti Targeted Attack (KATA) Platform

KASPERSKY ANTI TARGETED ATTACK (KATA) PLATFORM

Theo đánh giá của các tổ chức bảo mật uy tín số luợng các vụ tấn công có chủ đích nhắm vào các tổ chức, doanh nghiệp ngày càng tăng, các kỹ thuật và kỹ năng của những kẻ tấn công phức tạp hơn bao giờ hết. Các nguy cơ này càng ngày khó bị phát hiện, gây nhiều khó khăn để xử lý và loại bỏ, các giải pháp an toàn bảo mật thông thường khó mà xử lý được triệt để. Qua đó các tổ chức doanh nghiệp cần xây dựng các hệ thống bảo mật nâng cao, toàn diện hơn mới đáp ứng được nhu cầu.

Các cuộc tấn công có chủ đích được thực hiện lâu dài cung cấp cho kẻ tấn công kiểm soát trái phép hệ thống IT của doanh nghiệp, tránh kẻ tấn công bị phát hiện bởi các công nghệ bảo mật thông dụng như (AV, IPS, FW,…). Mặc dù một số cuộc tấn công có thể sử dụng các mối đe doạ liên tục nhưng cũng có những cuộc tấn công rất công phu và đắt tiền để thực hiện. Có cuộc tấn công đơn giản chỉ sử dụng một loại mã độc đơn giản, có cuộc tấn công sử dụng những kỹ thuật phức tạp từ phần mềm phần cứng và yếu tố con nguời.

Hầu hết các doanh nghiệp đã thực hiện các khoản đầu tư lớn cho các giải pháp bảo mật truyền thống: Firewall, Anti-Virus, IPS, Proxy, Encrypt,… Tuy nhiên mặc dù các công nghệ bảo mật đó có thể chống lại các mối đe doạ phổ biến bao gồm cả phần mềm độc hại và các cuộc tấn công có chủ đích đơn giản. Các cuộc tấn công phức tạp có thể không bị phát hiện trong nhiều tuần, nhiều tháng, nhiều năm. Các tội phạm mạng âm thầm thu thập các thông tin có giá trị hoặc tác động đến các quá trình kinh doanh quan trọng.

Ðể nâng cao mức độ bảo mật mà các giải pháp truyền thống có thể cung cấp, nhiều doanh nghiệp đang tự động hoá qui trình thông qua hệ thống quản lý sự kiện SIEM. Một số doanh nghiệp phát triển những ứng dụng chuyên dụng để tập trung hoá quản lý an ninh và ứng phó sự cố. Tuy nhiên  để những giải pháp truyền thống này có hiệu quả cần đội ngũ nhân viên có đầy đủ khả năng bảo vệ cần có tầm nhìn toàn cầu về an ninh, chiều sâu chuyên môn về khả năng phân tích các Cyberthreat. Trong khi đó các tập đoàn đa quốc gia cũng khó có thể tuyển được đầy đủ những chuyên gia như vậy.

Giải pháp chống tấn công có chủ dích APT cho phép xác định được sự hiện diện của một cuộc tấn công nhắm vào mục tiêu không chỉ đơn giản là tìm kiếm các mã độc hại hoặc các kết nối trái phép. Giải pháp chống tấn công APT có khả năng phát hiện chi tiết dựa vào sự hiểu biết về hành vi bình thuờng trong hệ thống và hành vi của nguời dùng cộng với phân tích liên tục tất cả các hoạt động để đảm bảo có tầm nhìn đầy đủ tất cả các cơ sở hạ tầng CNTT của doanh nghiệp.

Chi tiết tính năng, mô hình, nguyên lý hoạt dộng của giải pháp APT được mô tả các mục đưới đây:

2. Tấn công APT

Thuật ngữ APT (Advanced Persistent Threat) được dùng để chỉ kiểu tấn công dai dẳng và có chủ đích vào một thực thể. Kẻ tấn công có thể được hỗ trợ bởi chính phủ của một nuớc nào đó nhằm tìm kiếm thông tin tình báo từ một chính phủ nuớc khác. Tuy nhiên không loại trừ mục tiêu tấn công có thể chỉ là một tổ chức tư nhân.

Giải pháp chống tấn công APT là giải pháp cho phép doanh nghiệp, tổ chức có khả năng phát hiện các nguy cơ mất an ninh do các cuộc tấn công có chủ đích gây nên. Giải pháp chống tấn công APT có khả năng hoạt động độc lập và theo các yêu cầu cụ thể như mô tả ở các mục dưới đây.

3. Giải pháp chống tấn công APT bảo vệ các vùng mạng

Mô hình các thành phần trong giải pháp chống tấn công APT

Bảo vệ Network: Giải pháp chống tấn công APT có khả năng thu thập dữ liệu mạng qua các Sensor được triển khai trên các port dạng SPAN Port hay Bridge. Các giao tiếp mạng đuợc thu thập và phân tích để phát hiện khi có các cuộc tấn công APT.

Bảo vệ Mail: Giải pháp chống tấn công APT có khả năng thu thập dữ liệu mạng qua các Sensor được triển khai dể phát hiện các nguy cơ bị khai thác dựa trên giao thức Mail.

Bảo vệ Web: Giải pháp chống tấn công APT có khả năng thu thập dữ liệu mạng qua các Sensor duợc triển khai tích hợp với hệ thống Proxy hay hoạt động dạng Span port dể phát hiện các nguy cơ bị khai thác dựa trên giao thức Web.

Bảo vệ Endpoint: Giải pháp chống tấn công APT có khả năng thu thập dữ liệu mạng qua các Endpoint Sensor được cài đặt tại các máy trạm nhằm thu thập và gửi thông tin về máy chủ quản trị tập trung để phân tích và phát hiện cùng ngăn chặn các dạng tấn công APT.

Khả năng quản trị tập trung: Có chức năng thu thập và phân tích thông tin từ các Sensor (Network, Mail, Web, Endpoint) và thông tin từ công nghệ Sandbox. Công cụ quản trị tập trung là đầu não của giải pháp chống tấn công APT, cho phép thiết lập quản trị, đưa ra các báo cáo,…

Có tích hợp công nghệ Advanced Sandbox: Công nghệ cho phép tạo môi truờng giả lập nơi các khả nghi từ mạng, web và email gửi về.  Từ quá trình phân tích trên môi truờng giả lập này có khả năng phát hiện các nguy cơ tiềm ẩn mà các công nghệ cũ không có khả năng phát hiện ra.

Các tính năng bảo vệ chính:

- Phát hiện sự cố tại Endpoint trong thời gian thực

+ Phát hiện các mã độc hại dựa trên hành vi.

+ Bảo vệ và phát hiện trong quá trình quét

+ Phân tích các đối tuợng qua công nghệ SandBox

- Ngăn chặn:

+ Cách ly

+ Chặn các đối tuợng nghi vấn

+ Cho phép nguời dụng thực thi nhiều tác vụ

- Phản ứng sự cố

+ Khôi phục và khắc phục sự cố (Roll-Back and repair).

+ Khắc phục điểm yếu

+ Phân tích sâu các nguy cơ để phát hiện các mối đe doạ tiềm ẩn.

- Tập trung thu thập và phân tích bằng chứng mã độc và các loại tấn công.

- Tập trung nhận lệnh và gửi các yêu cầu tới các thành phần trong giải pháp

- Hỗ trợ điều tra và phân tích.

4. Tính năng của giải pháp đuợc mô tả chi tiết

• Management interface:
  • Web console
  • Single management platform
• Language: English & russian
• Solution architecture
  • Hardware-based
  • Virtual machine
• Traffic processing
  • Mirroring (SPAN)
  • Bridge
• Inline deployment: yes
• Web traffic analysis: yes
• Network traffic analysis: yes
• Mail traffic analysis: yes
• Endpoint sensors
  • Endpoint agents
  • Intergration with antimalware solution
• Anomalies detection in network traffic
  • Based on behavioral
  • Based on signature model
• Cloud reputation services: yes
• Private Cloud' option: yes
• SIEM integration: yes

Mô hình thiết kế sơ bộ của giải pháp chống tấn công APT đáp ứng các tiêu chí:

- Máy chủ quản trị tập trung và là nơi nhận, phân tích thông tin từ các sensor gửi về.

- Các Sensor: Network Sensor, Mail Sensor, Web Sensor là các máy chủ được gắn vào các vị trí đặc thù của mạng để phát hiện các mối nguy cơ và gửi thông tin về cho máy chủ Central Node.

- Endpoint Sensor đuợc cài đặt tại các máy tính để gửi thông tin về: File dạng chạy, ứng dụng dang chạy, port dạng mở về cho Central Node.

- Sandbox: là máy chủ hoạt dộng độc lập hay tích hợp vào máy chủ Central Node có chức năng tạo môi truờng ảo hoá giả lập cho các nghi vấn về an ninh.

Bảng liệt kê các mối liên hệ giữa các máy chủ và phân hệ ứng dụng.