GosSOPKoy और FinCERT में सिस्को समाधान की बातचीत

हमारे सिस्को धमकी प्रतिक्रिया धमकी खोज मंच के बारे में एक पिछली पोस्ट ने मुझे सरकारी सेवाओं SOSOPKA और FinCERT के साथ सीटीआर को कैसे एकीकृत किया जाए, इसके बारे में कुछ सवाल पूछे? और इसलिए मैंने एक और छोटा नोट लिखने और यह दिखाने का फैसला किया कि आप एफएसबी और सेंट्रल बैंक द्वारा भेजे गए समझौता संकेतकों में से सबसे अधिक कैसे प्राप्त कर सकते हैं। वास्तव में, इस तरह के एकीकरण में अलौकिक और जटिल कुछ भी नहीं है - हमारे नियामक दुनिया भर में समझौता संकेतकों के मशीन-पठनीय और मानकीकृत स्वरूपों का उपयोग करते हैं (मुझे यह कल्पना करने में डर लगता है कि दुर्भावनापूर्ण नमूनों के लिए हैश GOST 34.11-2012 के अनुसार नहीं भेजा जाएगा, और एमडी 5 नहीं / SHA1 / SHA256), लेकिन अभी तक उनके काम को स्वचालित करने के लिए एक एपीआई प्रदान नहीं करते हैं। किसी भी मामले में, वे सिस्को धमकी प्रतिक्रिया में उपयोग करने के लिए इतने मुश्किल नहीं हैं। इस प्रक्रिया का स्क्रीनशॉट नहीं लेने के लिए, लेकिन इसे डायनामिक्स में दिखाने के लिए, मैंने एक छोटा वीडियो रिकॉर्ड किया, जो कि कमजोर आरडीपी प्रोटोकॉल पर हमले के साथ वास्तविक जीवन उदाहरण का उपयोग करके प्रदर्शित करता है कि सिस्को सुरक्षा समाधान के साथ राज्य संचार और सुरक्षा प्रशासन की बातचीत को व्यवस्थित करना कितना आसान है।


ठीक उसी तरह की प्रक्रिया थ्रेट इंटेलिजेंस के किसी भी अन्य स्रोत के साथ की जा सकती है - BI.ZONE, कैसपर्सकी लैब, ग्रुप-आईबी, अनोमाली, सिस्को टैलो, आदि। यूएस-सीईआरटी के साथ ऐसा करने के बारे में एक संक्षिप्त एनिमेटेड वीडियो यहां दिया गया है।



हमारे नेटवर्क पर अनधिकृत गतिविधि के निशान की जांच और पहचान करने के बाद, हमें इसे जल्दी से अवरुद्ध करने के कार्य के साथ सामना करना पड़ता है, जिसके लिए यह आवश्यक है कि सुरक्षात्मक उपकरण जो नोड्स पर, सीमाओं पर, बादलों में काम करते हैं। सिस्को थ्रेट रिस्पांस ऐसा भी कर सकता है।

लेकिन घटनाओं की जांच के लिए सिस्को थ्रेट रिस्पांस का उपयोग करना हमारे लिए कितना फायदेमंद है? क्या उसी समाधान का उपयोग करना आसान नहीं है जो सीटीआर के साथ काम करता है - एएमपी फॉर एंडपॉइंट, ई-मेल सुरक्षा उपकरण, सिस्को फायरपावर, आदि, लेकिन बिना सीटीआर के? हमें एक और अतिरिक्त प्रणाली की आवश्यकता क्यों है? मैंने इन फैसलों में से प्रत्येक पर एक जांच प्रक्रिया आयोजित करने की कोशिश की और दिलचस्प अंक प्राप्त किए जो खुद के लिए बोलते हैं।

एंडपॉइंट्स के लिए एएमपी के लिए, सीटीआर के समान एक जांच में कम से कम 30 सेकंड लगते हैं। इस समय के दौरान, मैं अपनी ज़रूरत की नीति बना सकता हूं और मुझे इसमें आवश्यक समझौते के संकेतक दर्ज करने होंगे, जिसके बाद मैं सिस्को एएमपी 4 ई के परिणामों में अपनी खोज शुरू करता हूं।



वास्तव में, इसमें थोड़ा और समय लगेगा, क्योंकि यह उन समझौता संकेतकों की संख्या पर निर्भर करता है, जिन्हें मुझे प्रबंधन कंसोल इंटरफ़ेस में सेट करने की आवश्यकता है (या मुझे संकेतक के साथ एक फ़ाइल तैयार करने की आवश्यकता है जो मैं सिस्टम पर अपलोड करता हूं)।



सिस्को फायरपॉजी एनजीआईपीएस के मामले में, एक समान प्रक्रिया में कम से कम 40 सेकंड लगते हैं (मैं देख रहा हूं कि समझौता संकेतकों की संख्या के आधार पर)।



अंत में, CTR के साथ हाल ही में एकीकृत Cisco ई-मेल सुरक्षा समाधान के मामले में, सिस्को SMA (सुरक्षा प्रबंधन उपकरण) के माध्यम से ईमेल संदेशों में समझौता संकेतकों की खोज करने में कम से कम 11 सेकंड लगते हैं, अगर मैं मैन्युअल रूप से दुर्भावनापूर्ण (संदेह) के हैश मूल्यों को सेट करता हूं निवेश



और कम से कम 18 सेकंड अगर मैं समझौता के संकेतकों के स्रोत को इंगित करता हूं, जहां से डेटा स्वचालित रूप से लोड किया जाएगा।



सामान्य तौर पर, प्रत्येक समाधान के लिए बहुत कुछ नहीं है, लेकिन अगर मैं एक ही बार में कई उत्पादों और विभिन्न प्रकारों के संकेतकों की व्यापक जांच करता हूं, तो मुझे कम से कम 120 सेकंड की आवश्यकता होगी। यदि आप वीडियो को फिर से देखते हैं, तो आप देखेंगे कि सिस्को थ्रेट रिस्पॉन्स का उपयोग करने के मामले में, जांच में केवल 10 सेकंड लगते हैं। और यह समय मांगे गए संकेतकों की संख्या से लगभग स्वतंत्र है। सिस्टम को अपलोड करने के लिए समझौता करने के संकेतक की तैयारी के साथ बारह बार समय का लाभ और परेशानी की कमी - बस हमें क्लिपबोर्ड में (या ब्राउज़र के लिए केसबुक प्लगइन) में आवश्यक सभी चीजों की प्रतिलिपि बनाएँ और इसे सीटीआर में पेस्ट करें। इसलिए यदि आप तुरंत घटनाओं की जांच करने के कार्य के साथ सामना कर रहे हैं, तो नि: शुल्क सिस्को खतरा प्रतिक्रिया आपको इसे प्रभावी ढंग से हल करने की अनुमति देती है।

यह सरकारी खतरे की खुफिया प्रणालियों के साथ सिस्को समाधानों को एकीकृत करने का सिर्फ एक उदाहरण है। वास्तव में, वहाँ अधिक हैं। उदाहरण के लिए, हम न केवल घटनाओं की जांच की प्रक्रिया को स्वचालित कर सकते हैं, बल्कि स्वचालित रूप से उन कलाकृतियों को भी ब्लॉक कर सकते हैं जो हमें राज्य सामाजिक सुरक्षा सेवा या FinCERT से प्राप्त होते हैं - यह उदाहरण के लिए सिस्को एएमपी के लिए सिस्को एएमपी या सिस्को फायरपावर के लिए पर्याप्त है। सच है, इसे (स्वचालित रूप से ब्लॉक) सावधानी के साथ करें।