Блог Джона Домингеса (John Dominguez), менеджера Cisco по маркетингу решения AMP
Инциденты в области информационной безопасности (ИБ) возникают постоянно. Фактически, как бы ни было неприятно это признать, они стали повседневным делом: информация о новых кибератаках появляется чуть ли не еженедельно. При этом сотрудники служб ИБ часто думают, что уж их-то системы безопасности в состоянии противостоять любой угрозе. Но это всего лишь мечты[1]. На сегодняшний день не существует возможности гарантированно обнаруживать и предотвращать все возможные угрозы ИБ.
Тем не менее, компания Cisco продолжает делать для этого все возможное и почти вплотную приблизилась к решению этой задачи. Сравнительное тестирование систем обнаружения вторжений, проведенное компанией NSS Labs, показало, что решение Cisco Advanced Malware Protection (AMP) успешно блокирует 99% всего вредоносного кода. По итогам тестирования система Cisco AMP заслуженно заняла лидирующую позицию в своем сегменте[2]. Вместе с тем не следует забывать, что и оставшийся 1% угроз вполне может стать причиной компрометации.
Когда вредоносное ПО преодолевает передовые рубежи обороны, на первый план выходят системы непрерывной защиты от киберугроз, способные быстро обнаружить, локализовать и устранить угрозу до того, как будет нанесен значительный ущерб. Система Cisco AMP предоставляет все необходимые для этого средства мониторинга и контроля. При этом даже после проверки всех файлов система AMP продолжает работать: модули непрерывного анализа постоянно наблюдают за деятельностью конечных точек и мобильных устройств, а также за активностью в сети. Это позволяет быстро обнаружить малейшие признаки заражения инфраструктуры. Все это обеспечивает надежную защиту в течение всего жизненного цикла атаки.
А теперь — отличная новость: система Cisco AMP стала еще эффективнее! На днях компания Cisco объявила об усовершенствованиях, расширяющих возможности системы AMP по реализации непрерывной защиты[3]. Остановлюсь на этом подробнее.
Непрерывное обнаружение и ретроспективная защита
Система AMP по-прежнему обеспечивает непрерывный анализ файлов, что позволяет быстро получать все необходимые сведения о происхождении атаки и о скомпрометированных данных, а также постоянно выявлять техники сокрытия активности, используемые вредоносным ПО. Таким образом, пользователи получают подробную информацию об угрозах, присутствующих в вычислительной среде, и средства противодействия им.
Кроме того, теперь у пользователей появилась возможность участвовать в обнаружении целенаправленных атак. Технология индикаторов компрометации (ИК) конечных точек, применяемая в решении AMP для конечных точек (AMP for Endpoints), использует открытый стандарт описания ИК (open IoC standard) и дает пользователям возможность самостоятельно отправлять собственные ИК на подробный анализ.
Решение AMP для конечных точек имеет в своем составе специальную технологию для наблюдения за единичными событиями. Эта технология помогает обнаружить и подвергнуть анализу в изолированной среде («песочнице») целенаправленные угрозы повышенной скрытности, ранее проявлявшие себя только в отношении малого числа пользователей.
Аналитика угроз и динамический анализ вредоносного кода
Благодаря недавней интеграции технологий Threat Grid в систему Cisco AMP пользователи получили к своим услугам множество новых возможностей, в том числе: информационные ленты с контекстно-ориентированной аналитикой угроз, более 350 уникальных поведенческих индикаторов для наблюдения за активностью ПО, доступную форму представления рейтингов угроз и результатов аналитики, а также миллиарды образцов вредоносного кода. Все это призвано еще больше облегчить задачу по обнаружению и предотвращению потенциальных атак. Эти и многие другие возможности также доступны в виде отдельного решения для аналитики угроз и динамического анализа вредоносного кода посредством AMP Threat Grid.
Кроме того, решение AMP для конечных точек включает в себя технологию мониторинга уязвимостей. Эта технология определяет уязвимое ПО, которое может быть атаковано с помощью вредоносного кода или эксплойтов, и предоставляет приоритизированный список узлов сети, нуждающихся в обновлениях безопасности.
Гибкие, допускающие возможность выбора возможности развертывания
Решение можно развертывать в каких угодно конфигурациях: для конечных точек, для мобильных устройств, для почтовых и интернет-шлюзов, а также в сети, — в качестве дополнения к системам предотвращения вторжений нового поколения Cisco FirePOWER или к МСЭ Cisco ASA. Также система AMP Threat Grid может быть развернута в виде отдельного решения для аналитики угроз и динамического анализа вредоносного кода.
Это позволяет избежать сложностей, связанных с внедрением множественных устройств и управлением множественными платформами. Система Cisco AMP полностью совместима с другими продуктами безопасности от компании Cisco и сочетает в себе легкость внедрения, использования и управления.
[1] По выражению главы компании Cisco Джона Чемберса, «все компании делятся на две категории: уже пострадавшие от хакерских атак и те, что еще не ведают о том, что они пострадали» (А. П.).
[2] См. http://www.cisco.com/web/RU/news/releases/txt/2014/04/041114a.html.
[3] См. http://www.cisco.com/web/RU/news/releases/txt/2015/04/10e.html.
