Effektiver Schutz vor Advanced Threats Locky und Co. waren nur der

Effektiver Schutz vor Advanced Threats
Locky und Co. waren nur der Anfang
Claudia Wagner – Major Account Manager öffentliche Auftraggeber
Frank Barthel - Principal System Engineer
© Copyright Fortinet Inc. All rights reserved.
Fortinet in Deutschland
 Drittgrößter Hersteller für Netzwerk-Security-Appliances / über 4 600 Mitarbeiter weltweit
 Deutschland-Zentrale in Frankfurt, Vertriebsbüros in Hamburg und München
dezentrale Vertriebsmitarbeiter im gesamten Bundesgebiet
 Über 65 Mitarbeiter im Bereich Vertrieb, System Engineering,
Marketing und Partnerbetreuung
 Deutsches Supportcenter in Neu-Isenburg
 indirektes Vertriebsmodel über Systemhäuser
2
3
Typischer Ablauf einer Infektion
vermeintlich
saubere Email
mit Anhang oder
“aktivem” Inhalt
Sowohl Gateway-AV als auch Client-AV
schlagen nicht an, da es sich um einen ZeroDay handelt
Bösartiger Link in Mail /
Áufrufen einer bösartigen
Webseite
Anti-Spam / Anti-Virus
Web Filtering
bösartige
Webseite
Zero-day Exploit
Intrusion Prevention
unbekannte Datei durchläuft AVFilter
Abfluss von Daten via
Botnet oder versteckter Email
Gateway-Anti-Virus
Exploit
Malware
Command &
Control Center
App Control/
IP Reputation
verschlüsselte Kommunikation durchläuft
Filter, wenn kein SSL-Interception aktiviert
ist
4
Die FortiSandbox als ganzheitlicher Ansatz
vermeintlich
saubere Email
bösartiger
Link
Zero-day Exploit
Sandbox
Anti-Spam / Anti-Virus
unbekannte Datei durchläuft AVFilter
Botnet Kommunikation
und Abfluss von Daten
Web Filtering
bösartige
Webseite
Intrusion Prevention
Gateway-Anti-Virus
Exploit
Malware
Command &
Control Center
App Control/
IP Reputation
verschlüsselte Kommunikation durchläuft
Filter
5
Das Mail-Problem - FortiMail ATP Integration
FortiMail
» Übertragen von Mail-Anhängen bzw. Inhalten zur tieferen Analyse an die
FortiSandbox
eingehende Email
» Mails werden während der Analyse in der Queue gehalten
Rückmeldung mit RiskRating
» Automatisches Weiterleiten bzw. Blocken der Mail basierend auf dem
Analyseergebnis
» Caching der Analyseergebnisse auf der FortiMail
 Daten werden nicht doppelt analysiert und somit auch schneller
erkannt
Anhang/Inhalt wird zur
Sandbox geschickt
FortiSandbox
6
Das Download-Problem - FortiGate ATP Integration
» Extrahiert die Datei aus dem evtl. SSL-verschlüsselten Datenstrom
Datei-Download aus dem Inernet
FortiGate
» Dateitypen können manuell auf eine Whitelist gesetzt werden, um
Bandbreite und Performance auf der Sandbox zu schonen
» Die FortiGate wird über die Analyse-Ergebnisse informiert
» Nutzung der Analyseergebnisse über dynamische Thread-DB
Updates zu anderen Fortinet-Produkten
 Daten werden nicht doppelt analysiert und somit
auch schneller erkannt
Datei wird zur
Sandbox geschickt
Rückmeldung mit
Risk-Rating zum
Blocken der Datei
FortiSandbox
7
Portallösungen? - FortiWeb ATP Integration
Datei-Upload auf Webserver
FortiWeb
» Uploads zu Web Applikationen (Bewerbungs-Portal, Bürger-Portal,
etc.) werden zur erweiterten Analyse an die FortiSandbox gesendet.
» Die FortiWeb wird über die Analyse-Ergebnisse informiert.
» Verdächtige Dateien werden dementsprechend geblockt und gleiche
Dateien werden zukünftig ohne weitere Analyse gleich behandelt.
Datei wird zur
Sandbox geschickt
Rückmeldung mit
Risk-Rating zum
Blocken der Datei
FortiSandbox
8
Die ganzheitliche Fortinet ATP Lösung
FortiGuard Labs
Security Updates
Intelligence Sharing
Real-time intelligence updates
Dateiübertragung /
Analyseergebnis
FortiSandbox
Blockieren der
Dateien
FortiGate / FortiMail / FortiWeb
Dateiübertragung /
Analyseergebnis
FortiClient/
Other Endpoint
lokale DateiQuarantäne
Blocken des infizierten Clients
9
Flexible Einsatzmöglichkeiten
 Integration mit Fortigate/FortiMail/FortiWeb
» Dateien werden “angehalten” und gezielt zur
FortiSanbox gesendet
Network Traffic
FortiGate /
FortiMail /
FortiWeb
FortiSandbox
 Inline/SPAN Sniffer-Modus
» Dateien werden transparent aus dem Verkehrsstrom extrahiert
FortiSandbox
 ICAP Modus
Network Traffic
» Dateien werden von einem Dirttanbieter-Gerät via ICAP an die
FortiSandbox gesendet
Security-Appliance
 On-demand
» Dateien werden manuell, per FortiClient
oder per API zur FortiSandbox hochgeladen
Network Traffic
FortiSandbox
10
Fragen?
Vertrieb:
Claudia Wagner
[email protected]
Tel: 0151 54277118
Technik:
Frank Barthel
[email protected]
Tel: 0171 4177390
www.fortinet.de
12