Positive Technologies o‘zining trafikni tahlil qilish va tarmoq hodisalarini tekshirish tizimining tijoriy versiyasini taqdim etmoqda.

PT Network Attack Discovery 10 Gbit/s gacha tezlikda trafikni qayd etish va tahlil qilish, shuningdek, hodisalarni tekshirish uchun indekslangan va dastlabki ma’lumotlarni uzoq muddat saqlash imkoniyatini taqdim etadi.

Positive Technologies tarmoq trafigini tahlil qilish va hodisalarni tekshirishga mo‘ljallangan, tarmoq xavfsizligini ta’minlash bo‘yicha kompleks yechimning tijoriy versiyasi chiqarilganini e’lon qiladi. PT Tarmoq Hujumini Aniqlash (PT NAD) Mahsulot yirik infratuzilma loyihalarida, jumladan, GosSOPKA tizimida keng ko‘lamli dala sinovlaridan muvaffaqiyatli o‘tdi.[1], va sanoat miqyosida foydalanishga tayyor.

So‘nggi yillarda korporativ infratuzilmalarda hujumchilarning bo‘lish muddati (dwell time) ortdi.
…uch yilgacha bo’lgan, ammo hujumlarning atigi 10% jabrlanuvchilarning o’zlari tomonidan aniqlangan. Bu ixtisoslashgan, ko’p bosqichli tahdidlar sonining ko’payishi bilan bog’liq – ularning ko’pchiligida imzolar yoki anomal ko’rsatkichlar yo’q. Hujumning dastlabki bosqichlarida jiddiy zararni oldini olish uchun xavfsizlik mutaxassislari hujumchilarning faoliyati haqida to’liq tasavvurga ega bo’lish uchun «xom» trafikning uzoq muddatli arxivlariga kirishlari kerak. Biroq, bizning tajribamiz shuni ko’rsatadiki, o’nta kompaniyadan faqat bittasi tergov maqsadlarida trafikni saqlab qoladi va saqlash muddati odatda ikki haftadan oshmaydi.

PT Network Attack Discovery tizimi 10 Gbit/s gacha tezlikda xom trafikni (raw traffic) qabul qilish, katta hajmdagi maʼlumotlarni saqlash, qayta ishlash va indekslash, shuningdek, ularni PCAP fayllariga yozib olish imkonini beradi. Tashqi xotiradan foydalanilganda, maʼlumotlarni bir necha oy davomida — biznes talablariga qarab, olti oy yoki undan ko‘proq muddatgacha — saqlash mumkin.

PT Network Attack Discovery retrospektiv tahlil mexanizmi yordamida vaqt davomida tarqalgan avvalgi hujumlar va tahdidlarni aniqlaydi. Tizim hujumlar xronologiyasi va rivojlanish yo‘nalishlarini kuzatish, shuningdek, nafaqat PT Network Attack Discovery tomonidan qayd etilgan ma’lumotlar, balki tashqi manbalardan import qilingan trafik fayllari asosida ham retrospektiv tahlil o‘tkazish imkonini beradi.

Tizimning tijoriy versiyasi endilikda L7 darajasida protokollarni tahlil qilishni qo‘llab-quvvatlaydi; bu esa har bir tarmoq ulanishiga xos bo‘lgan metama’lumotlarni (masalan, foydalanilayotgan ilovalar, protokol maydonlari qiymatlari, obro‘-e’tibor ro‘yxatlari, IP-manzillar va portlar) real vaqt rejimida ajratib olish va saqlash imkonini beradi. Shuningdek, tizimning barqaror ishlashi va trafikni qayta ishlash tezligi ham yaxshilandi. Ma’lumotlarni qayta ishlash quvvati soniyasiga 1 Gbit (1 Gbps) va saqlash muddati ikki hafta bo‘lgan sharoitda metama’lumotlar bo‘yicha qidiruv jarayonini bir daqiqadan kamroq vaqt ichida yakunlash mumkin.

Yashirin tarmoq faoliyatini aniqlash uchun PT Network Attack Discovery masofaviy ekspluatatsiya urinishlari va zararli dasturlarni aniqlashga mo‘ljallangan xususiy signaturalar bazasidan foydalanadi. Ushbu signaturalar to‘plami EternalBlue ekspluati (Windows asosidagi tizimlarda masofadan turib buyruq bajarish), Cobalt Strike modullari (buzib kirilgan tizimlarni masofadan boshqarish), DCShadow usuli (Active Directory’ga hujum qilishning yangi turi), Cisco SMI zaifliklari va boshqa tahdidlarni aniqlash qoidalarini o‘z ichiga oladi. Signaturalar bazasi muntazam ravishda yangilanib boriladi; hozirgi vaqtda u Positive Technologies mutaxassislari tomonidan ishlab chiqilgan 3000 dan ortiq qoidadan iborat. Ushbu qoidalarning yuqori sifati xalqaro miqyosdagi yetakchi signatura provayderlari tomonidan e’tirof etilgan.

«Bizning hisob-kitoblarimizga ko‘ra, 2017-yilda maqsadli hujumlar qurbonlari soni deyarli ikki baravar ko‘paygan», — deydi Positive Technologies kompaniyasining texnologiyalarni ilgari surish va rivojlantirish bo‘limi rahbari Yevgeniya Krasavina. «Hujumlar tobora murakkablashib bormoqda: kiberjinoyatchilar izlarni yashirish (anti-forensics) usullaridan foydalanmoqda, zararli dasturlarda raqamli imzolar ko‘proq uchramoqda va faylsiz hujumlar soni ortdi. Zaiflik aniqlanishi va uning hujumchilar tomonidan qurol sifatida qo‘llanilishi o‘rtasidagi vaqt oralig‘i bor-yo‘g‘i bir necha kungacha qisqardi. Masalan, Cobalt guruhi CVE-2017-0199 zaifligidan foydalanuvchi fayllarni yaratish uchun Microsoft Word Intruder 8 eksploit-konstruktorining eng so‘nggi versiyasiga ega bo‘lgan ilk guruhlardan biri edi. Bularning barchasi kompaniyalarni hujumlarni aniqlash jarayonini tezlashtira oladigan, tahdidlarni aniqlashning yanada ilg‘or vositalarini joriy etishga undamoqda».

PT Network Attack Discovery tizimi energetika, telekommunikatsiya va transport sohalarida, shuningdek, bank tizimi, davlat idoralari va ommaviy axborot vositalarida allaqachon qo‘llanilmoqda. Masalan, Rossiyaning eng yirik media-korporatsiyasi bo‘lgan VGTRKda ushbu mahsulot zararli tarmoq trafigini aniqlash hamda me’yoriy talablarga, xususan, «Terrorizmga qarshi kurashish to‘g‘risida»gi 35-FZ-sonli Federal qonunda telekommunikatsiya operatorlari va internet-loyihalar uchun belgilangan yangi majburiyatlarga rioya etilishini ta’minlash imkonini beradi.

2018-yilda Positive Hack Days 8 xalqaro amaliy xavfsizlik forumida PT Network Attack Discovery vositasining imkoniyatlari namoyish etildi. Ushbu mahsulot butun dunyodan kelgan xakerlar jamoalari shahar infratuzilmasi simulyatsiyasiga hujum qilgan «The Standoff» musobaqasi davomida zararli tarmoq faoliyatini kuzatish imkonini berdi. PT Network Attack Discovery faqat musobaqadagi shartli bankning masofaviy bank xizmatlari tizimiga qaratilgan 536 ta noyob hujumni aniqladi.

[1] PT NAD — PT Platform 187 platformasining tarkibiy qismi bo‘lib, GosSOPKA markazlarini yaratishda qo‘llaniladi.