DIE ERA DER DIGITAL TRANSFORMATION Mobile überholt Desktop, Social schlägt Suchen, Messaging apps fordern e‐Mail heraus, und alles um uns herum wird connected.
Check Point SandBlast Webinare 7. / 15. Dezember 2016 ZUNAHME VON UNKNOWN MALWARE Exploits
Botnets
CVEs
Trojans Bad URLs Virus
ES GIBT IMMER MEHR
DAS WIR NICHT KENNEN
ZERO DAY, APT’s, UNKNOWN MALWARE
[Restricted] ONLY for designated groups and individuals
Signatures
Check Point SandBlast Webinare 7. / 15. Dezember 2016
Der traditionelle Ansatz Virus
Anti‐Virus
Malicious Websites
URL Filtering IPS
Attacks Anti‐Bot
Botnet High Risk Applications
Application Control
Check Point schließt die Sicherheitslücken
IPS, ANTI-VIRUS & ANTI-BOT
SCHÜTZT VOR BEKANNTER UND ALTER MALWARE aber: 71 von 1000 werden nicht erkannt
OS- UND CPU-LEVEL ZERO-DAY PROTECTION
SCHÜTZT VOR UNBEKANNTER UND NEUER MALWARE mit OS- und CPU-level Schutz
THREAT EXTRACTION
VOLLSTÄNDIGE ENTFERNUNG VON ALLEN GEFAHREN das Dokument wird in ECHTZEIT rekonstruiert und malwareFREI ausgeliefert
[Restricted] ONLY for designated groups and individuals
Check Point SandBlast Webinare 7. / 15. Dezember 2016 Mehrschichtiger Schutz URL Reputation Erlaubt, blockt oder limitiert Webseiten Gebrauch anhand von Reputation
[Restricted] ONLY for designated groups and individuals
10
Check Point SandBlast Webinare 7. / 15. Dezember 2016 Sandbox Umgehungs-Technik Mein Ziel: Malware nur auf Endpoints ausführen, aber nicht in einer Sandbox!
Verzögerte Ausführung
Eine Sandbox kann nicht für immer warten
Halte die Malware für einige Zeit inaktiv
Sandbox Erkennung
Eine Sandbox ist nicht gleich wie ein Endpoint
Lass die Malware nach Anzeichen auf eine Sandbox‐ Umgebung suchen
Menschliche Interaktion
Eine Sandbox wird von Maschinen ausgeführt
Lass die Malware auf Benutzeraktionen warten
11
Zero-Days in der Exploit Phase mit CPU Level Detection identifizieren Tausende
VULNERABILITY Nur eine Handvoll
EXPLOIT
CPU Level Sandboxing
SHELLCODE EVASION CODE Millionen
MALWARE
OS Level Sandboxing
12
Check Point SandBlast Webinare 7. / 15. Dezember 2016 Bypass OS und CPU Sicherheits-Kontrollen
ROP: Return Oriented Programming • Prüfe Code, welcher zur Ausnutzung von Exploits geladen wird ̶ Executable und DLLs des Ziel OS ̶ Executable und DLLs der Ziel‐Anwendung
• Suche nach nützlichen “Gadgets” ̶ Kurze Sequenzen von Code dem ein Return Befehl folgt ̶ Programmiere ein Exploit welches Gadgets als einfachen Code nutzt 13
[Restricted] ONLY for designated groups and individuals
15
16
Check Point SandBlast Webinare 7. / 15. Dezember 2016 Zugriff auf das Original Dokument NACH der Emulation
17
SandBlast Threat Extraction
Proaktiver Schutz Direkte Verfügbarkeit Präventiv, nicht nur Erkennung Einsicht in Angiffsversuche
18
Check Point SandBlast Webinare 7. / 15. Dezember 2016
SANDBLAST AGENT
SANDBLAST AGENT Zero-Day Protection für Endpoints
Prevent Zero-Day Attacks
Identify & Contain Infections
Effective Response & Remediation
Threat Extraction & Emulation für Endpoints • • •
Zustellung gesäuberter Inhalte Emulation der Originaldaten Schützt Web-downloads und Dateikopien
20
Check Point SandBlast Webinare 7. / 15. Dezember 2016 Zero‐day Endpoint Protection – Funktionsweise
Browser Erweiterung Web downloads + Theft Prevention (Anti‐Phising)
Threat Extraction & Threat Emulation SANDBLAST CLOUD (Public or Private)
Datei‐System Monitor
Threat Emulation
Jede erstellte oder kopierte Datei
21
[Restricted] ONLY for designated groups and individuals
SANDBLAST AGENT Zero-Day Protection for Endpoints
Prevent
Identify & Contain Infections
Zero-Day Attacks
Effective Response & Remediation
Anti-Bot für Endpoints & Endpoint Quarantäne • • •
Erkennt & Verhindert C&C Kommunikation Lokalisiert Infektionen Quarantäne für den infizierten Host
22
Check Point SandBlast Webinare 7. / 15. Dezember 2016
Sandblast Agent: Anti‐Bot Anti-Bot auf dem Endpoint Erkennt den C&C Channel – und wir wissen der Host ist infiziert Blocken des C&C Channel – und wir dämmen die Malware ein C&C Kommunikation
Kommunikation Geblockt ANTI‐BOT
Identifiziere kompromitierte Systeme • •
Innerhalb & Ausserhalb Lokalisierung, falls innerhalb des Netzwerks
