SURFdiensten Themabijeenkomst Beveiliging en Beschikbaarheid Utrecht, 15 februari drs.ir. Frank van den Hurk

Transcriptie

1 SURFdiensten Themabijeenkomst Beveiliging en Beschikbaarheid Utrecht, 15 februari 2007 drs.ir. Frank van den Hurk

2 Quarantainenet Drie producten: Qnet, Qmanage en Qdetect Samenwerking met de Universiteit Twente Producten inmiddels ook in gebruik bij oa: Demon Internet InterNLnet Helft Nederlandse universiteiten

3 Trends Verschuiving van aanvallen op OS (DCOM, LSASS) naar aanvallen op applicaties (Symantec en RealVNC) Professionalisering onder de makers malware, groot financieel gewin te behalen met een botnet Regelmatig virussen die (nog) niet worden gedetecteerd door reguliere anti-virus software Gevolg: constante ontwikkeling van detectiemethoden noodzakelijk

4 Focus bepalen Ondanks firewall en anti-virus software toch regelmatig incidenten (wel noodzakelijk, niet voldoende) Risico = impact * waarschijnlijkheid Waarschijnlijkheid = dreiging * kwetsbaarheid

5 Uitgangspunten Pre-admission en/of Post-admission control? Afweging tussen vrijheid en functionaliteit Verschillende VLANs voor verschillende beveiligingsniveaus Onderscheid tussen beheerde en onbeheerde werkplekken Werkplekken die buiten centraal beheer vallen zijn per definitie minder veilig, ongeacht genomen maatregelen

6 Product: Qdetect In-house ontwikkelde reactieve honeypot Gedraagt zich gedeeltelijk als vulnerable systeem Luistert op diverse poorten Detectie per exploit Geen false-positives Regelmatig nog onbekende virussen Eén fysieke honeypot kan op meerdere IP adressen in meerdere VLANs ingezet worden Qdetect demo beschikbaar via SURFdiensten Meestal toegepast i.c.m. Qnet of Qmanage

7 Product: Qnet Post-admission control Detectie door middel van Qdetect Isolatie van besmette werkplekken Gepersonaliseerde pagina voor geïsoleerde eindgebruiker Na oplossen van probleem kan aansluiting weer vrijgegeven worden (OneStrike)

8

9

10

11

12

13

14 Voordelen Qnet Minimale workload abuse afdeling Stroomlijnen processen Zelfredzaamheid eindgebruikers bevorderen Verspreiding (worm) virussen indammen Optimale dienstverlening aan eindgebruikers Snellere responstijden bij aan- en afsluiten Informatievoorziening over incident Beschikbaarheid tools om probleem op te lossen Bewustwording bij eindgebruikers bevorderen

15 Cijfers uit de praktijk Slechts 80% van de wormvirussen wordt op het moment van eerste detectie door de virusscanners herkend 36% binnen 24 uur weer aangesloten, 50% binnen 48 uur Het aantal externe meldingen van misbruik met ruim 80% gedaald Callvolume dat samenhangt met afsluiting met 50% gedaald Meer dan 50% heeft zichzelf uit Quarantaine gehaald Van 65% de betaling ontvangen in de eerste week na afsluiting vanwege betalingsachterstand

16 Management info

17

18 Qnet versie 2.4 Inzicht in aanvallen vanaf het internet Uitgebreidere analyse besmettingspogingen Geschikt voor koppeling met SurfIDS Uitbreiding API Meer management informatie

19 Product: Qmanage Pre-admission en post-admission control Voorkom toegang onbekende devices Geautoriseerde devices automatisch in het juiste VLAN Gasten na registratie in gasten VLAN Detectie door middel van Qdetect Isolatie van besmette werkplekken Gepersonaliseerde pagina voor geïsoleerde eindgebruiker

20 Categorieën devices Vooraf vaststellen welke devices er op het netwerk kunnen komen, bijvoorbeeld: Onbekend Bekend, onbeheerd device van externe Bekend, onbeheerd device van student Bekend, onbeheerd device van medewerker Bekend, beheerd device voor student Bekend, beheerd device voor medewerker afd A Bekend, beheerd device voor medewerker afd B...

21 Verschillende eisen per categorie Onbeheerde devices (bijv. laptop van student) Per definitie minder veilig Controle op status beveiliging systeem lastig zonder vergaande beperkingen aan de gebruiker op te leggen Risico minimaliseren door: Minimaliseren impact door plaatsing in eigen VLAN Minimaliseren dreiging door direct ingrijpen Minimaliseren kwetsbaarheid door voorlichting

22 Verschillende eisen per categorie Beheerde devices Controle op status beveiliging systeem door gebruik te maken van bestaande tools (indien mogelijk koppeling leggen met Qmanage) Risico minimaliseren door: Minimaliseren dreiging door door plaatsing in eigen VLAN Minimaliseren impact door direct ingrijpen Minimaliseren kwetsbaarheid door koppeling met beheertools

23 Registratie gasten (voorbeeld) Onbekende laptop wordt aangesloten op een switch Switchpoort wordt automatisch in Qmanage VLAN gezet Eindgebruiker krijgt een webpagina met uitleg Eindgebruiker registreert zich Switchpoort wordt in VLAN gezet met beperkte toegang Controle opgegeven adres (optioneel) Systeembeheerder ontvangt per een melding van de registratie en kan deze accepteren of afwijzen.

24 Voordelen Qmanage Switchpoorten altijd in het juiste VLAN VLAN per categorie devices Per VLAN toegangseisen bepalen Nieuwe functionaliteit, zonder uw oude switches te vervangen Eenvoudig en veilig gasten toelaten op uw netwerk Naadloze integratie met Qdetect

25