1、IPS領導品牌TippingPoint產品介紹與市場攻略,2,防火牆已經不能勝任今天的保安工作,Illegal file sharingPeer to peer,Buffer Overflow,DoS, SYN Flod,BackOrifice-31337,3,IT部門每天煩得要死的事情,主動式入侵防禦技術(IPS)的世代已經來臨,5,Source: Infonetics Research Network Intrusion Prevention Market OutlookMay 17, 2006,TippingPoint在IPS市場的佔有率世界第一,Tipping Point 在最近一次
2、Infonetic 的市占率調查上,遠遠超越Cisco, Juniper, ISS, McAfee等其他競爭公司,繼續保持全世界 Market Share #1 的領導者地位(大約 33%) .,6,TippingPoint擁有廣大的客群,受獎無數,Awards,KoreaTelecom,TippingPoint產品安全認證,8,TippingPoint在市場得獎無數,University Business Magazine Show Stopper Award,The Tolly Group Up To SpecPerformance and security benchmark. Tipp
3、ingPoints IPS demonstrated 100% security accuracy at 2 Gbps.,NSS Gold AwardThe TippingPoint Intrusion Prevention System is the first and only product to win the coveted NSS Gold Award in the IPS space. The NSS Group testing was the first comprehensive side-by-side comparison of leading Intrusion Pre
4、vention System vendors - TippingPoint, ISS, Network Associates, Netscreen and TopLayer. The full report is available at http:/www.nss.co.uk/.Click here to read TippingPoints NSS Gold Award Summary.,ICSA Labs Network IPS CertificationThe TippingPoint Intrusion Prevention System has been certified by
5、ICSA Labs as the first multi-gigabit network IPS. As one of only three products to be certified in the Network IPS category, TippingPoint was the only product with a certified rated throughput at multi-gigabit speeds with a maximum average one-way latency of 84 microseconds.,Information Security Mag
6、azines 2007 Readers Choice AwardsThe TippingPoint Intrusion Prevention System has received a Gold in Information Security Magazines and SearchSs Readers Choice Awards in the Intrusion Detection/Prevention category.,Frost & Sullivan 2007 Global Market Penetration Leadership AwardTippingPoint has been
7、 awarded the 2007 Global Market Penetration Leadership Award from Frost & Sullivan for exhibiting market share leadership through the implementation of market strategy.,SC Magazine 2007 AwardsThe TippingPoint 5000E is a finalist in the 2007 SC Magazine Awards for Best Intrusion Detection/Prevention
8、Solution.,9,ICSA 認證,10,NSS Gold 認證,TippingPoint IPS擁有最佳效能與最完整防禦功能,12,TippingPoint-真正採用硬體架構的IPS,TippingPoint擁有整套自行開發的 Xilinx Vertex 4 FPGA (Layer 7)及 Layer 4 (ASIC) 模組IP de-fragmentation/TCP flow reassemblyL4-L7攻擊行為分析與統計網路流量限速以及惡意封包阻擋超過170種的應用層網路通訊協定分析,在Gigabit的環境中僅有微秒的延遲 (Latency under Microsecond)其
9、他競爭對手宣稱擁有 Gigabit 的效能但是 Latency 卻高達數秒甚至數十秒之多,13,TippingPoint IPS具有完整的保護能力,High Performance Custom HardwareHighly Advanced Prevention FiltersConstant Update Protection Service5 Gbps ThroughputSwitch-Like Latency 2M Sessions250K Sessions/SecondTotal Flow Inspection64K Rate Shaping Queues10K Parallel F
10、ilters,何謂零時差攻擊,15,什麼是漏洞?什麼是零時差攻擊?,什麼是漏洞?-與作業系統或是電腦程式因為撰寫不慎而留下的缺點-有心人士可以利用這些缺點撰寫惡意程式去侵占電腦的主控權,獲得利益-漏洞是資安的大問題,攻擊的方便之門,16,2007-01-01以來的漏洞統計,Microsoft1月 重大(3), 重要(1)Microsoft Excel 中的弱點可能會允許遠端執行程式碼 (927198)Microsoft Outlook 中的弱點可能會允許遠端執行程式碼 (925938)向量標記語言中的弱點可能會允許遠端執行程式碼 (929969)2月 重大(6), 重要(6)HTML Help
11、 ActiveX 控制項中的弱點可能會允許遠端執行程式碼 (928843)Microsoft Data Access Components 中的弱點可能會允許遠端執行程式碼 (927779)Microsoft Malware Protection Engine 中的弱點可能會允許遠端執行程式碼 (932135)Microsoft Word 中的弱點可能會允許遠端執行程式碼 (929434)Microsoft Office 的弱點可能會允許遠端執行程式碼 (932554)Internet Explorer 積存安全性更新 (928090)4月 重大(5), 重要(1).,你的重要伺服器可以隨時重
12、開機嗎?,17,2007-01-01以來的漏洞統計 continue,TWCERT 2007年4月份發佈了23個安全通報,18,2007-01-01以來的漏洞統計 continue,TWCERT 的安全公告到四月底為止共發佈了48則作業系統Windows(6)Red Hat(16)Apple MAC OS(2)Sun Solaris(2)FreeBSD(2)網路設備CISCO(14)應用程式Kerberos(2)Sourcefire Snort(1)Oracle(1)Apple QuickTime(2),19,漏洞與零時差攻擊每天都在發生,漏洞就在眼前, 但修補程式尚未公佈該如何面對？,對於零
13、時差攻擊的防護,21,零時差攻擊 案例-漏洞,Windows DNS Server 上的 RPC 的弱點可能會允許遠端執行程式碼影響版本Microsoft Windows 2000 Server Service Pack 4Microsoft Windows Server 2003 Service Pack 1Microsoft Windows Server 2003 Service Pack 2微軟於 4月 12日公佈了 Windows名稱領域服務 (DNS)所使用的管理介面存在 Remote Procedure Call(遠端程序呼叫 )緩衝區溢位弱點，此弱點可使遠端攻擊者以系統管理權限來
14、執行任意程式。 4月 18日知名駭客網站 xxxx已開放下載此漏洞的攻擊程式碼，微軟於 4月 19日三度更新有關此漏洞問題安全性摘要報告並公佈了暫時修正方式，5 月8 日才正式修補此漏洞。,22,零時差攻擊 案例-防護,TippingPoint於 4月 13日釋出數位疫苗版本 7259，其中包含此漏洞的防護能力5290: MS-RPC: Microsoft DNS Server Service Fragmented Request5291: MS-RPC: Microsoft DNS Service Buffer Overflow5292: MS-RPC: Microsoft DNS Serv
15、ice Buffer Overflow 5293: MS-RPC: Microsoft DNS Service Request 以上過濾器預設在建議設定值中啟用以保護此漏洞，另外也提供一個政策過濾器 (5293)預防任何來自 Internet 上機器想要連結 DNS主機上 RPC服務 .已知有攻擊程式利用傳送特殊封包 TCP Port 1023 及 TCP Port 139及 445利用此漏洞攻擊此漏洞。,23,零時差攻擊 案例-漏洞,Windows 動畫游標處理中的弱點GDI 中的弱點可能會允許遠端執行程式碼 (925902)影響版本Microsoft Windows 2000 Server
16、 Service Pack 4Microsoft Windows XP Service Pack 2Microsoft Windows Server 2003 Service Pack 2Microsoft Windows Vista微軟於 4月 3日公佈了發現利用 Microsoft Windows 處理動畫游標 (.ani) 檔案的方式之弱點所進行的攻擊。 攻擊者若要發動此攻擊，使用者必須造訪包含用以利用弱點網頁的網站，或檢視蓄意製作的電子郵件訊息或攻擊者傳送的電子郵件附件，微軟於4月 3日首度針對此漏洞發佈了修補程式 。,根據CERT的報告此漏洞在2006-11-06就已經成為公開資料發
17、佈在CERT網站CVE-2006-5758,4月初多家國內知名企業與政府機關網站遭駭客植入惡意程式,這些惡意程式更利用微軟.ANI零時差漏洞的問題,將木馬及間諜程式等惡意程式植入到瀏覽受植入惡意程式網頁的使用者將惡意程式植入正常網站,等待使用者自行落網將是未來網路釣魚犯罪的主流,24,零時差攻擊 案例-防護,TippingPoint早於2004年釋出的數位疫苗版本，其中就已經包含此漏洞的防護能力3210: HTTP: Windows LoadImage API Buffer Overflow .ANI file,某客戶端的實際攔截記錄,25,數位疫苗版本#6306與發佈時間2006/6/13,
18、微軟漏洞公佈時間2006/6/13,數位疫苗內含多條Filter分別對不同的微軟漏洞作出防護,微軟漏洞修補時效(2006.6.13),26,為什麼TippingPoint可以真正做到零時差攻擊保護針對漏洞的分析,而不是針對一大堆變種病毒,SANSCERTVendor AdvisoriesBugtraqVulnWatchPacketStormSecuriteam,TippingPoint的全球ZDI計畫-與全球資安組織緊密結合(ex: TW CERT), 鼓勵所有使用者一起找碴 發現任何漏洞將給予高額獎金-要做好資安必須是一個持續性的資本投入 與專注,RISKWeekly Report,Tipp
19、ingPoint DV小組為全球知名的SANS Institute撰寫Risk週報,TippingPoint特徵值更新速度,28,DV數位疫苗最新三次更新時間,微軟漏洞修補時效,30,微軟07年10月更新項目,31,TippingPoint針對微軟漏洞修補時效,TippingPoint 現有產品線,33,ProtocolAnomaly,Signature,Vulnerability,TrafficAnomaly,IPS應該具備的四種過濾方式,過濾方式,入侵防禦核心技術,Signature-針對已知問題的保護,Protocol Anomaly -各種Protocol必須符合RFC規範,Vulne
20、rability-要即時了解各種漏洞並防禦,Traffic Anomaly -異常流量的即時偵測與控制,34,企業環境內部與外部流量兼具的保護,建議放在防火牆前面來保護防火牆, 防火牆遇到 L4-L7的攻擊或入侵 (如 port 80) 時無任何防禦能力, 攻擊在超過一定的連線數 以上時, 防火牆將自動讓流量透通或甚至當機,TippingPointDV Service,35,TippingPoint 現有產品線,10 Gbps Core Controller,8 Gbps * 4 IPS * Fiber,不只是IPS,還是功能強大的端點異常行為的管理系統,37,來自內部網路的問題最難以處理,P
21、erimeter,Internal,Internet,LAN Segment,LAN Segment,EnterpriseNetwork,Wi-Fi,IPS,FW/VPN,Remote Branch,Secure,Vulnerable,X,Attacks Blocked,Attacks enter from LAN endpoints,38,隔離功能(Quarantine)佈建 #1: IPS Only,使用者開啟對網路的連線惡意的封包將會被IPS攔阻除了攔阻之外,IPS也可以定義各種Action處理手段IPS會送一個預先定義好的告警網頁至使用者的電腦 有問題電腦後續所發出的封包將被IPS隔離
22、(有限的連線能力),Internet,Core,TippingPoint IPS,8800 Switch,8800 Switch,Catalyst 6500,5500 Switch,WLANs,1200 Switch,Remediation Page,39,隔離功能(Quarantine)佈建 #2: IPS + SMS,Internet,Core,Radius,TippingPoint SMS,TippingPoint IPS,8800 Switch,8800 Switch,5500 Switch,WLANs,1200 Switch,使用者透過TippingPoint Security Ma
23、nagement System (SMS)做認證SMS如同 Radius proxy, 透過RADA學習到MAC/Switch/Port的資料惡意的封包將會被IPS攔阻IPS會將Event data送到SMSSMS可以設定threshold值作為啟動隔離功能的依據SMS反解IP為MAC,有問題的MAC Address將被放到blacklist 並依據事先定義的policy set處理SMS要求compromised device針對有問題的電腦重新做連線認證(re-authentication)Compromised Device可以作處置動作-例如:將連接的實體Port關閉,禁止有問題的電腦連上網路,Catalyst 6500,40,TippingPoint以IPS做為NAC骨幹,TippingPoint與您共創獲利雙贏Thank You,
