सिस्को स्प्लंक क्यों नहीं खरीदता है या सिस्को मंच खतरे के शिकार के लिए कैसे काम करता है, इसके बारे में बात करता है

लगभग हर छह महीने में एक बार, एक अमेरिकी पत्रकार एक षड्यंत्र नोट प्रकाशित करता है कि सिस्को स्प्लंक खरीदने और डब्लूएमडी सेगमेंट में प्रवेश करने वाला है, क्योंकि यह वही है जो वैश्विक सूचना सुरक्षा बाजार की अंतिम विजय के लिए हमारे पास है (हालांकि हम पहले से ही मार्च में विक्रेता नंबर 1 का नाम दिया गया)। हालांकि, पत्रकारों को लिखना आमतौर पर भूल जाते हैं कि सिस्को ने पहले से ही डिएगो को विकसित किया है, जिसे उसने ओपनएसओसी कहा और अपाचे फाउंडेशन में आगे विकास के लिए दिया (जहां ओपनएसओसी पहले से ही अपाचे मेट्रोन नाम से विकसित हो रहा है)। लेकिन यह एक मजाक है, लेकिन वास्तव में इसका कारण अलग है। दुनिया में कोई भी ऐसा विक्रेता नहीं है जिसके पास सूचना सुरक्षा के लिए एक विस्तृत उत्पाद पोर्टफोलियो होगा और साथ ही साथ वह बहु-विक्रेता समाधान का समर्थन कर सकता है। इस तरह के दुर्लभ प्रयास या तो इस तथ्य को जन्म देते हैं कि विक्रेता एक सामान्य विक्रेता-स्वतंत्र निगरानी समाधान नहीं बना सकता है और यह केवल अपने प्रमुख उत्पाद विकसित करने पर ध्यान केंद्रित करते हुए, आला खिलाड़ियों (स्प्लंक, आईबीएम, माइक्रो फोकस, इलास्टिक, लॉगरहाइट इत्यादि) से हारने लगता है। तथ्य यह है कि एक सामान्य नियंत्रण और प्रतिक्रिया उपतंत्र के बिना अपने स्वयं के उत्पादों के लिए एक नियमित कंसोल में बदल जाता है (सभी बलों को निगरानी के लिए फेंक दिया जाता है)। सिस्को, "सर्जस" (सिस्कोवर्क्स के साथ पहली बार सिस्को और सिस्को MARS के साथ दूसरी बार) नाम से दो बार नदी में प्रवेश किया है, आज थोड़ा अलग समाधान पर ध्यान केंद्रित करता है, जिसका नाम सिस्को थ्रेट रिस्पांस है , जो एक खतरे का मंच है और जो, लंबे समय में, सभी सिस्को साइबरसुरिटी समाधान के लिए लिंक बन जाना चाहिए।



ग्राहकों के साथ संवाद करते हुए, वे आमतौर पर उन्हीं कार्यों के बारे में बताते हैं, जो इस प्रकार हैं:

• हम लाखों घटनाओं को अलग-अलग उपायों से देखते हैं, लेकिन हमें यकीन नहीं है कि वे विशेष रूप से हमारे खिलाफ लक्षित और निर्देशित कुछ याद नहीं कर रहे हैं
• हमारे पास बहुत सारे कच्चे आईबी कार्यक्रम हैं और हम उन्हें खतरे के खुफिया आंकड़ों के साथ समृद्ध करना चाहते हैं
• हमें GosSOPKI, FinCERT और वाणिज्यिक कंपनियों से समाचार पत्र प्राप्त होते हैं, लेकिन हम यह नहीं जानते हैं कि उनके साथ क्या करना है और यह कैसे सत्यापित करें कि उनमें वर्णित समझौते के संकेतक घटित नहीं होते हैं, और यदि वे करते हैं, तो तुरंत समझ में आता है
• हम अपने बुनियादी ढांचे के संबंध में विभिन्न कलाकृतियों और समझौता के संकेतकों के बीच संबंध की कल्पना करना चाहते हैं और आपदा के पैमाने को समझेंगे
• हम इसे सबसे अच्छे तरीके से ब्लॉक करने के लिए एक खतरा खोजना चाहते हैं
• हम गतिशीलता को ट्रैक करने के लिए आईबी की तस्वीर को विभिन्न बिंदुओं पर समय पर पकड़ना चाहते हैं
• हम अपनी सहायक कंपनियों के साथ या कंपनियों के एक समूह के हिस्से के रूप में जांच के परिणामों को साझा करना चाहते हैं
• हमें कुछ सरल और अधिमानतः एक सस्ती समाधान की आवश्यकता है।

यदि अंतिम इच्छा के लिए नहीं, तो व्यक्ति विभिन्न थ्रेट हंटिंग समाधानों की एक पूरी श्रृंखला की पेशकश कर सकता है, जिनमें से प्रत्येक अपनी समस्या का हल करता है। या आप कुछ "" हारवेस्टर की पेशकश कर सकते हैं, जो कि कुछ कोलम्बिया या एसओएआर-समाधान पर आधारित हैं, जो कि एक स्पेसशिप की तरह है। हमने लाइटवेट और फ्री-डेंजर-हंटिंग प्लेटफॉर्म सिस्को थ्रेट रिस्पॉन्स को विकसित करके इसे आसान बनाने का फैसला किया, जो कि सिएम / एसओएआर और सुरक्षा उपकरणों के बीच एक मध्यवर्ती के रूप में, आपको सिस्को समाधानों का उपयोग करके उन्हें एक सिंगल स्पेससिटी सिस्टम में शामिल करके सबसे अधिक लाभ प्राप्त करने की अनुमति देता है।



एक साल पहले, जब हमने सिर्फ इस प्लेटफ़ॉर्म को रिलीज़ किया था (तब इसे सिस्को विजिबिलिटी भी कहा जाता था), यह सिर्फ़ तीन सिस्को सॉल्यूशंस - एएमपी फ़ॉर एंडपॉइंट्स, थ्रेट ग्रिड और अम्ब्रेला (और साथ ही एक बाहरी स्रोत VirusTotal से डेटा प्राप्त कर सकता है)। पिछले एक साल में, हमने सिस्को ईमेल सिक्योरिटी और सिस्को फायरपावर के साथ एकीकरण करके सीटीआर की क्षमताओं का विस्तार किया है। अब हमारे पास न केवल टर्मिनल उपकरणों के स्तर पर, बल्कि ईमेल और नेटवर्क सुरक्षा के स्तर पर प्राप्त होने वाली सुरक्षा घटनाओं का विश्लेषण करने का भी अवसर है।

आइए देखें कि सिस्को ईमेल सुरक्षा (ईएसए) के साथ सीटीआर एकीकरण कैसे काम करता है। मान लीजिए कि आपको सिस्को ईएसए से एक ई-मेल अधिसूचना मिलती है, जो मेल संदेशों में से एक में पाए गए दुर्भावनापूर्ण लगाव के बारे में है। कृपया ध्यान दें कि यह मक्खी पर खतरे का पता लगाने के बारे में नहीं है, लेकिन एक पूर्वव्यापी विश्लेषण के बारे में है, जिसने अज्ञात लगाव के साथ एक पत्र प्राप्त करने के कुछ समय बाद इसकी हानिकारकता के बारे में निष्कर्ष निकालना संभव बना दिया है। अब हमें यह समझने के कार्य का सामना करना पड़ रहा है कि "वितरण के अंतर्गत कौन आया" और यदि कोई भी प्राप्तकर्ता संलग्नक को खोलने और अपने कंप्यूटर को संक्रमित करने में कामयाब रहा, जिससे कॉर्पोरेट या विभागीय नेटवर्क पर दुर्भावनापूर्ण कोड के प्रसार को बढ़ावा मिला।



परिणामस्वरूप संकेतक (इस मामले में, एक लगाव हैश) हम प्रारंभिक सीटीआर विंडो में डालते हैं। हम सिस्को ईएसए से प्राप्त पत्र के पूरे पाठ को कॉपी कर सकते हैं - सीटीआर खुद इससे समझौता करने के सभी संकेतकों को बाहर निकाल देगा।



इसके अलावा, सीटीआर अपना काम शुरू करता है और यह बताता है कि यह अनुलग्नक पांच मेलबॉक्सों में गिर गया। इसके अलावा, यह फ़ाइल कंपनी के आंतरिक नोड्स में से एक पर पाई गई थी।



शायद उपयोगकर्ता पहले से ही इस अनुलग्नक को खोलने या इसे अपने कंप्यूटर पर सहेजने में कामयाब रहा है। शायद उपयोगकर्ता ने इस फाइल को एक अलग तरीके से प्राप्त किया (उदाहरण के लिए, यूएसबी फ्लैश ड्राइव पर या इंटरनेट पर वेबसाइट से डाउनलोड करके)। इस मामले में, हम पहले विकल्प के साथ काम करने की सबसे अधिक संभावना रखते हैं, क्योंकि समझौता किए गए कंप्यूटर का नाम दुर्भावनापूर्ण लगाव प्राप्त करने वाले मेलबॉक्सों में से एक के नाम के समान है।



ऐसा लगता है कि समस्या हल हो गई है, और हम सीटीआर छोड़ने के बिना एंडपॉइंट्स के लिए सिस्को एएमपी का उपयोग करके इस खतरे को रोक सकते हैं। लेकिन जांच के हिस्से के रूप में, हम यह भी रुचि रखते हैं कि क्या यह पीसी 192.168,243.108 पते के साथ हमले के विकास के लिए एक स्प्रिंगबोर्ड बन गया है, या यह एक बाहरी कमांड सर्वर से जुड़ा है?



हमारे संदेह उचित थे - पीड़ित का कंप्यूटर 62.210.170.57 पते के साथ एक बाहरी और दुर्भावनापूर्ण होस्ट से जुड़ा हुआ है, जो बदले में दो और फाइलों के साथ जुड़ा हुआ है, जिसका फैसला अभी तक ज्ञात नहीं है और जो, जांच के बाद, हम समापन बिंदु के लिए एएमपी पर ब्लैकलिस्ट कर सकते हैं या सुरक्षा के अन्य साधनों पर।



वैसे, कृपया ध्यान दें कि समझौता के संकेतक के रूप में, आप सिस्को ईमेल सुरक्षा के माध्यम से सत्यापित न केवल हैश डेटा का उपयोग कर सकते हैं, बल्कि मेल संदेशों के प्रेषकों / प्राप्तकर्ताओं के नाम, साथ ही उनके विषय और अन्य ई-मेल हेडर फ़ील्ड का भी उपयोग कर सकते हैं। यह सुविधा आपको न केवल दुर्भावनापूर्ण गतिविधि, बल्कि संगठन के अन्य पहलुओं के विश्लेषण के लिए सीटीआर को एक उपकरण में बदलने की अनुमति देती है। मैं DLP के लिए सीटीआर विज़ुअलाइज़र को कॉल करने का साहस करता हूं, जो सिस्को ईएसए में बनाया गया है।

सामान्य तौर पर, सिस्को ईएसए के साथ सीटीआर का एकीकरण आईएस विश्लेषकों को निम्नलिखित सवालों के जवाब देने की अनुमति देता है:

• क्या ई-मेल संदेशों में ऐसे नाम या ऐसी हैश वाली फ़ाइल होती है?
• ई-मेल संदेशों में ऐसा क्या विषय होता है?
• ऐसे प्रेषक द्वारा क्या ई-मेल संदेश भेजे गए थे?
• ई-मेल संदेश ऐसे आईपी या प्रेषक डोमेन से जुड़े हैं?
• इस तरह के एक संदेश आईडी के साथ एक संदेश का विवरण क्या है?

सिस्को डिएगो में जून की शुरुआत में आयोजित सिस्को लाइव में, हमने अपने प्रमुख सुरक्षा उपकरण, सिस्को फायरपावर मल्टीफंक्शनल सुरक्षा समाधान के साथ सीटीआर के एकीकरण की घोषणा की। इसकी अगली पीढ़ी के फ़ायरवॉल और घुसपैठ का पता लगाने वाले सबसिस्टम आईपी या यूआरएल से उत्पन्न होने वाली दुर्भावनापूर्ण गतिविधि से जुड़ी सीटीआर सुरक्षा घटनाओं को "भेज" सकते हैं। यह जानकारी सीटीआर में प्रदर्शित होती है और टर्मिनल डिवाइस या ईमेल से प्राप्त अन्य डेटा से जुड़ी होती है। इसके अलावा, सीटीआर के माध्यम से, दुर्भावनापूर्ण आईपी या यूआरएल को सिस्को फायरपावर पर अवरुद्ध किया जा सकता है।



CTR में एक और नवाचार क्रोम और फ़ायरफ़ॉक्स ब्राउज़र के लिए प्लग-इन था, जो आपको वर्तमान वेब पेज का विश्लेषण करने और इसमें "एक क्लिक में" (उदाहरण के लिए, किसी कंपनी या सूचना सुरक्षा शोधकर्ता के ब्लॉग से) समझौते के सभी संकेतकों को बाहर निकालने की अनुमति देता है। समझौता करने के संकेतकों को कैप्चर करने और उन्हें कॉपी करते समय त्रुटियों की संख्या को कम करने की प्रक्रिया को स्वचालित करने के अलावा, यह प्लगइन आपको प्रत्येक आईओसी के लिए तुरंत इसकी स्थिति (स्वच्छ या दुर्भावनापूर्ण) को चिह्नित करने की अनुमति देता है, साथ ही संबंधित टिकट (केसबुक) में आवश्यक संकेतक भी शामिल करता है, जिसे आप बाद में काम कर सकते हैं। CTR में।



सुविधाओं में से एक, हमारे ग्राहकों से सवाल उठने की कमी, थ्रेट इंटेलिजेंस के बाहरी स्रोतों से आईपी पते या फ़ाइल हैश को समृद्ध करने में असमर्थता थी। लॉन्च के समय, सिस्को थ्रेट रिस्पांस ने सिस्को (सिस्को टैलो, सिस्को एएमपी ग्लोबल, सिस्को थ्रेट ग्रिड, और सिस्को अम्ब्रेला) से केवल टीआई स्रोतों का समर्थन किया, और बाहरी लोगों से केवल वायरसटोटल। लेकिन अब सब कुछ बदल गया है - हमने एक एपीआई खोला है जो आपको अन्य TI स्रोतों को जोड़ने की अनुमति देता है, उदाहरण के लिए, GosSOPKU या FinCERT, BI.ZONE, Group-IB, Kaspersky Lab या विदेशी सेवाएं। एपीआई का उपयोग करके, आप तीसरे पक्ष के समाधान के माध्यम से पता चला घटनाओं का जवाब देने की प्रक्रिया को स्वचालित कर सकते हैं। यदि आपका बुनियादी ढांचा सिस्को आईबी सुरक्षा समाधानों का उपयोग करता है, तो प्रतिक्रिया सुविधाएँ पहले से ही सिस्को थ्रेट प्रतिक्रिया में निर्मित हैं:

• एक उपयुक्त हैश के साथ एक फ़ाइल को अवरुद्ध करना या एंडपॉइंट के लिए सिस्को एएमपी के माध्यम से एक फ़ाइल / प्रक्रिया को क्वारंट करना
• डोमेन सिस्को छाता के माध्यम से अवरुद्ध
• सिस्को ईमेल सुरक्षा के माध्यम से ईमेल संगरोध (भविष्य के रिलीज में)
• सिस्को NGFW / NGIPS (भविष्य में रिलीज़ में) के माध्यम से IP और URL अवरुद्ध
• सिस्को वेब सिक्योरिटी / एसआईजी के माध्यम से यूआरएल को ब्लॉक करना (भविष्य में रिलीज में)
• सिस्को आईएसई (भविष्य के रिलीज में) के माध्यम से एक आंतरिक मेजबान को संगरोध करें।

सिस्को दृश्यता के बारे में पिछले लेख में, मुझसे पूछा गया था कि क्या हम सिस्को समाधानों के साथ न केवल एकीकृत कर सकते हैं, बल्कि तीसरे पक्ष के समाधान के साथ भी। फिर मैंने पुष्टि में जवाब दिया, और आज मैं भी इस तरह के एकीकरण का एक उदाहरण दिखा सकता हूं। फरवरी में, सिग्नल साइंस ने हमसे संपर्क किया, इसकी अगली पीढ़ी के WAF के लिए दुनिया भर में जाना जाता है। यह कंपनी CTR के साथ अपने समाधान को एकीकृत करना चाहती थी। हमने उन्हें प्रलेखन और कोड उदाहरणों तक पहुंच दी और 10 दिनों (कुल दस दिन) के बाद हमें एक कार्य एकीकरण दिखाया गया, जिसने हमें डब्ल्यूटीआर द्वारा सीटीआर को दर्ज की गई घटनाओं के बारे में डेटा भेजने की अनुमति दी, जिसमें आईपी पर डेटा, समझौता के संकेतक और मेटा-डेटा से संबंधित हैं। हमला।



यदि विश्लेषक को घटना के बारे में अधिक विस्तृत दृष्टिकोण करने की आवश्यकता है, तो आप सीधे सीटीआर इंटरफ़ेस से सिग्नल साइंस WAF इंटरफ़ेस खोल सकते हैं।



एपीआई का उपयोग करते हुए, सिस्को और सिग्नल साइंस समाधान के उपयोगकर्ता सक्षम थे:

• विभिन्न सूचना सुरक्षा समाधानों से डेटा का विश्लेषण और सहसंबंधित करें जो एक दूसरे के पूरक हैं
• एक टिकट के भीतर विभिन्न समाधानों से समझौता करने के संकेतक
• सिस्को समाधान के साथ सिग्नल साइंस द्वारा पता लगाए गए खतरों पर क्रॉस-रिएक्शन।

मुझे उम्मीद है कि मुक्त सीटीआर के बारे में मेरे बयान ने आपका ध्यान आकर्षित किया है? हाँ यह सच है। लेकिन इसे एक्सेस करने के लिए, आपने निम्नलिखित सिस्को समाधानों में से एक को तैनात किया होगा - सिस्को एएमपी फॉर एंडपॉइंट्स, सिस्को थ्रेट ग्रिड, सिस्को अम्ब्रेला, सिस्को ईमेल सिक्योरिटी और सिस्को एनजीएफडब्ल्यू / एनजीआईपीएस (और भविष्य में अन्य समाधान)। यदि आप इन उत्पादों में से एक पर गर्व करने वाले मालिक हैं, तो आप आसानी से सिस्को थ्रेट रिस्पांस खतरे के विश्लेषण मंच का उपयोग करके आसानी से परीक्षण कर सकते हैं और शुरू कर सकते हैं। यदि आप एक डेवलपर हैं और CTR के साथ अपने सूचना सुरक्षा समाधानों को एकीकृत करना चाहते हैं, तो आप डेवलपर्स के लिए सिस्को डेनेट सिस्को समुदाय मंच पर थोड़ा प्रशिक्षण और कोड उदाहरणों का अध्ययन करने के बाद आसानी से ऐसा कर सकते हैं।