Вопросы архитектуры платформы защиты от сетевых кибер атак Александр Серебряков

F5 Networks

© F5 Networks, Inc 2

May June July Aug Sep Oct Nov Dec

2012

Spear Phishing

Physical Access

XSS

Attack Type

Size of circle estimates relative impact of incident in terms of cost to business

Атаки и их цели

© F5 Networks, Inc 3

Bank Bank

Bank

Non Profit

Non Profit

Bank

Bank

Bank Gov

Industrial Online

SVC

Non Profit

Gov Auto

Online Services Gov

Gov

Online Services

Online SVC

Online Services

Industrial

EDU Bank

Bank Bank

Gov

Online Services

Online SVC

Gov Online Services

Online Services

News & Media

Edu

Telco

Cnsmr Electric

Cnsmr Electric

Bank

Telco

Online Services

Online Services

Education

Food Svc

Online Services

Bank

News & Media Gov

Soft- ware

Bank

Telco

Non- Profit

E-comm Utility

News & Media

Edu

Bank

Online Services

Bank Bank Online

Services

Online Services

Bank Food

Service

Banking Gaming

Gov

Gov Auto

Soft- ware

News & Media

Online Services

Consumer Electric

Online Services

Gov Util

Health Soft- ware

Online Services

Gov Cnsmr Elec

Online Svcs Gov Retail

Bank Bank

Online Services

Soft- ware

Bank

Edu News & Media

Online Services

Online Services Online

Services

Online Services

Gov Gov

Indu- strial

Airport Retail

News & Media

Auto Telco

Gov

Edu

DNS Provider

DNS Provider

Global Delivery

Auto

Gov

DNS Provider

DNS Provider

DNS Provider Gov

Consumer Electronics

Gove

Bank

Bank

Bank Gov

Online Svc

Software

Online Gaming

Telco

News & Media

Edu

Soft- ware

News & Media

Edu

News & Media

Online Services

Gov

Auto

Entnment Gov

Utility

News & Media

Online Svc

News & Media

Spear Phishing

Physical Access

Unknown

Attack Type

Size of circle estimates relative impact of incident in terms of cost to business

Jan Feb Mar Apr May Jun

2013

Атаки и их цели

© F5 Networks, Inc 4

Осторожно! Сегодняшние атаки используют несколько технологий одновременно

Приложение

SSL

DNS

Сеть

© F5 Networks, Inc 5

Пример. DDoS, скрывающий настоящую угрозу

DDoS атака скрыла кибер-ограбление на $900,000 Feb 13, 2013

© F5 Networks, Inc 6

Влияние на деятельность организации

Стоимость противодействия

Репутационные риски

Остановка деятельности

© F5 Networks, Inc 7

Какую технологию защиты использовать?

ОБЛАЧНЫЕ/СТОРОННИЕ СЕРВИСЫ

Сеть доставки контента

Оператор связи

Облачный DDoS сервис

СОБСТВЕННАЯ ЗАЩИТА

Межсетевой экран с SSL инспекцией

Прикладной экран

Собственная DDoS коробка

Система предотвращения вторжений

Ответ:

“Нужно брать все”

© F5 Networks, Inc 9

Публикация приложений и

межсетевой экран

Прикладной экран

Смягчение DDoS

DNS Защита

Расширяемость

Детальный взгляд на систему защиты

© F5 Networks, Inc 10

Анализатор или прокси?

или

Атака

Bridge Full proxy

© F5 Networks, Inc 11

Архитектура Full Proxy

iRule

iRule

iRule

TCP

SSL

HTTP

TCP

SSL

HTTP

iRule

iRule

iRule

SYN flood

SSL renegotiation

Утечки данных Slowloris attack

XSS

МСЭ

WAF WAF

© F5 Networks, Inc 12

Архитектура Full Proxy

iRule

iRule

iRule

TCP

SSL

HTTP

TCP

SSL

HTTP

iRule

iRule

iRule

МСЭ

WAF WAF

© F5 Networks, Inc 13

Пример - ассиметричные атаки

 Цель ассиметричной атаки

•  Получить список URI

•  Отсортировать по времени выполнения

•  Отсортировать по объему данных

Покутные боты, которые все это выполнят

•  Обычно хорошо известны в сообществе

•  Хотя легко можно сделать и с помощью wget

# wget –r –wait=1 -nv https://the.target.com

© F5 Networks, Inc 14

HTTP Pipelining

 GET /download/doc.pdf?121234234fgsefasdfl11 HTTP/1.1\r\n Host: www.xxxxyyyyzzzz.com\r\n User-Agent: Mozilla/4.0\r\n Connection: keep-alive\r\n GET /download/doc.pdf? qXs5udkLDd7DNG9ub HTTP/1.1\r\n Host: www.xxxxyyyyzzzz.com\r\n User-Agent: Mozilla/4.0\r\n Connection: keep-alive\r\n GET /download/doc.pdf?DLGgun1nEmfm5eid76 HTTP/1.1\r\n Host: www.xxxxyyyyzzzz.com\r\n User-Agent: Mozilla/4.0\r\n Connection: keep-alive\r\n GET /download/doc.pdf? 6ndfTygZPImXsNW22a HTTP/1.1\r\n Host: www.xxxxyyyyzzzz.com\r\n User-Agent: Mozilla/4.0\r\n Connection: keep-alive\r\n

Случайные значения параметров Позволяют обойти сигнатуры и кэши

© F5 Networks, Inc 15

Схема демо-стенда

Пользователи

DoS Атака

BIG-IP Platform

Mgmt: 10.2.0.20

GET /sell.php?SESSION_ID=random(10 цифр)

GET /, GET /index.php http://10.2.0.21

/index.php

/sell.php

Онлайн аукцион

© F5 Networks, Inc 16

Защита от утечек важных данных

Валидация ввода данных

Скрытие ресурсов

Линейное масштаби-рование

Поддержка SSL

Активная защита

Работа с аномалиями в

реальном времени

Защита от L7 DoS

Почему прокси

?

Видимость/Контроль

Проактивность/ Надежность

Микро стратегия

Макро стратегия

Гибкость/ Масштаби- руемость

© F5 Networks, Inc 17

Технология защиты F5 Networks Полноценное решение в сети организации

Решения для мира приложений