[UA-1] 新しい働き方を支える企業ネットワーク – シスコ ユニファイド アクセス

Transcription

1 experience Services Cisco dcloud Japan Local Webinar 第 1 回 : Network as a Sensor のご紹介

2 Cisco dcloud: バーチャル パートナー & シスコ社員がアクセス可能ブラウザベース同時複数セッションが可能 カスタマイズ 管理者権限カスタマイズ, ローカライズ, 新規のスクリプト作成保存, 共有, 再利用 お客様先 dcloud Data Centers Americas, APJC, EMEAR anyone anywhere anytime パートナー先 用意済みのスクリプト すぐに利用可能設定済み任意の端末利用が可能 様々な用途 お客様先, シスコ社内打ち合わせ, イベント サポート 検証済み 24x5 電話, ウェブサポートライブチャット

3 dcloud は各ニーズに対応 PC 端末から直接 (AnyConnect VPN) VPN ルータでローカル環境と接続 パートナーとシスコ社員向け バーチャルデスクトップ デモスクリプトの用意 カスタマイズ, ローカライズ, 共有可能 任意の端末利用が可能 BYOD: Bring Your Own Devices dcloud Data Centers Americas, APJC, EMEAR PC 上のローカルクライアント デモルームの構築 ローカルのサーバ追加 様々な利用用途

4 dcloud が あなたのビジネスを助けます! 自由自在に クラウド上の第三者のコンテンツ インターネット dcloud データセンター AMERICAS EMEAR APJC GC ローカル dcloud 第三者のローカルコンテンツ ローカルのラボ LAN

5 各種リソース dcloud: dcloud.cisco.com Twitter: 日本語デモスクリプト dcloud のトップページの Help -> Localized Contents -> Cisco dcloud content translated to Japanese ( デモスクリプト ) ( ヘルプコンテンツ ) Cisco dcloud に関する Q&A を以下のシスコサポートコミュニティにて 日本語で受け付けております サポート ( 英語のみ ) : 電話 : GO-CISCO or パートナー向け Web サポート : Support Net dcloud demo ロードマップダウンロードはこちら dcloud がサポートしているエンドポイントルータ一覧

6 dcloud による Network as a Sensor/Enforcer デモシナリオ 山田正浩 エンタープライズネットワーク事業システムズエンジニアリング

7 Cisco ネットワークセンサーソリューション Network as a Sensor/Enforcer

8 シスコ ネットワークセンサー ソリューション 内部ネットワーク 攻撃者 C&C サーバ 企業内ネットワークの脅威を可視化! 管理者端末 ネットワーク自体がセキュリティセンサーに! 全体で守る! Cisco Catalyst スイッチ 脅威と判断したフローを遮断!

9 マルウェアの拡散と二次感染

10 過去 5 年間に見る情報漏洩の仕組み バックドア確保 マルウェアの埋込 ターゲットの下調べ フィッシングメールのリンクをクリック 権限取得が出来るまで攻撃を続ける アドミン権限取得 アドミン権限を使って情報を抽出 取得した情報の売買

11 既存セキュリティ手法例 : 境界セキュリティ 境界防御ファイアウォール IPS/IDS ウイルスに感染した端末 内部ネットワーク 攻撃者 C&C サーバ 管理者端末 境界に達するまで攻撃検知ができない Cisco Catalyst スイッチ

12 既存セキュリティ手法例 2: エンドポイント ( 端末 ) セキュリティ ( アンチウイルス ) 境界防御ファイアウォール IPS/IDS 内部ネットワーク 端末防御アンチウイルスソフトなど 攻撃者 C&C サーバ 社内データベース ( 顧客 機密データなど ) 管理者端末 内部での攻撃を検知 防御できない Cisco Catalyst スイッチ

13 シスコ ネットワークセンサー ソリューションとは? ウイルスに感染した端末 内部ネットワーク 攻撃者 C&C サーバ 企業内ネットワークの脅威を可視化! 管理者端末 ネットワーク自体がセキュリティセンサーに! 全体で守る! Cisco Catalyst スイッチ 脅威と判断したフローを遮断!

14 ネットワークでの可視化 : StealthWatch NetFlow / NBAR / NSEL ネットフロー対応ネットワーク機器 StealthWatch フローコレクター フローレコードの収集と解析 最高 4,000 の送信先 最高 24 万フロー毎秒 StealthWatch 管理コンソール 管理とレポート 最高 25 フローコレクターまでサポート 全体で最高 600 万フロー毎秒サポート

15 NetFlow によるネットワークデータの収集 インターネット 内部ネットワーク WAN Router ASR/ISR 4k NetFlow Data 全ての機器から CORE 情報取得 Cat6500E and Cat6800 DISTRIBUTION Cat3K and Cat4K ACCESS Cat3650 and Cat3850 Cisco WLAN (Aironet) FC = FlowCollector SMC = Stealth Watch Management Console

16 NetFlow とは スイッチ ルーター NetFlow を使ってこんな事ができます ネットワーク内の全ての通信の追跡 スイッチ ルーター ファイアウォールなどネットワーク内の至る所でのデータ採取可能 ネットワーク使用状況の把握 ユーザーからユーザーへの横の通信も可視化 SPAN ベースの大量データからの解析より少ないデーター量でトラフィック解析が可能 侵入 攻撃の痕跡 (IOC) の把握 部署 役職 デバイスタイプなどの属性 Flow 情報 パケット 送信元アドレス 宛先アドレス 送信元ポート 宛先ポート 443 インターフェイス情報 IP TOS 情報 Gi0/0/0 0x00 IP プロトコル情報 6 NEXT HOP TCP FLAGS 0x1A SOURCE SGT 100 アプリケーション名 : : NBAR SECURE- HTTP インターネット

17 Cisco NetFlow の強み Flexible NetFlow による非サンプル ( フルレート )NetFlow 使用状況 パケット数 バイト数 送信元 IP アドレス 宛先 IP アドレス 通信元 宛先情報 フルレートにより全てのトラフィック情報を取得可能 時間 通信開始時間 通信終了時間 ポート番号 プロトコル アプリケーション スイッチやルータ その他機器多数で標準装備 (UCS vnic も含む ) インターフェース使用状況 QoS 入力インターフェイス 出力インターフェイス サービスタイプ TCP フラグ ネクストホップアドレス 送信元 AS 番号 宛先 AS 番号 送信元プレフィックス 宛先プレフィックス ルーティングピアリング情報

18 NetFlow サポート機器一覧 NetFlow 搭載機器 広域網 ユーザー スイッチ ルーター ルーター ファイアウォールデータセンタ スイッチ サーバー ISE NetFlow Exporters Catalyst 2960-X (NetFlow Lite) サンプルフロー Catalyst 3850/3650 (FNF, v9, SGTサポート ) Catalyst 4500E (Sup8) (FNF, v9, SGTサポート ) Catalyst 6500E (Sup2T) (FNF, v9, SGTサポート ) Catalyst 6800 (FNF, v9, SGT サポート ) Cisco ISR 4000 (FNF, v9, SGT サポート ) Cisco ASR1000 (FNF, v9, SGT サポート ) Cisco CSR 1000v (FNF, v9, SGT サポート ) Cisco WLC 5760 (FNF, v9) Cisco WLC 5520, 8510, 8540 (v9) ASA5500, 5500-X (NSEL,v9) Nexus 7000 (Mシリーズ I/Oモジュール FNF,v9) Nexus 1000v (FNF, v9) Cisco NetFlow Generation Appliance (FNF, v9) Cisco UCS VIC (VIC 1224/1240/1280/1340/1380) StealthWatch 管理コンソール StealthWatch フローコレクター StealthWatch フローセンサー 詳しい情報はこちらから :

19 StelathWatch なら脅威を検知するだけではなく 分類 アラートまで自動化 セキュリティー イベント (94 以上のアルゴリズム ) アラーム カテゴリー 応答 フローの採取と分析 フロー Addr_Scan/tcp Addr_Scan/udp Bad_Flag_ACK** Beaconing Host Bot Command Control Server Bot Infected Host - Attempted Bot Infected Host - Successful Flow_Denied.. ICMP Flood.. Max Flows Initiated Max Flows Served. Suspect Long Flow Suspect UDP Activity SYN Flood. 異常度偵察行為 C&C マルウェア拡散内部の情報漏洩外部へ情報漏洩 DDoS 標的 警告テーブル ホスト状態の保存 メール Syslog / SIEM 隔離 防御 セキュリティ製品として開発 一目で把握できる簡易 GUI 全世界で 300 の導入実績 アメリカ国防総省 アメリカ政府など アメリカ政府認定セキュリティ製品

20 Network as a Sensor で検知できる脅威企業ネットワーク内部の脅威を可視化管理 Recon 攻撃前に行われる偵察行為 Exploitation マルウェア拡散等のホスト通信 DDoS Target DDoS 攻撃の対象ホスト Exfiltration 外部への情報漏洩行動 Anormaly 異常行動のホスト件数 Concern Index 閾値を超えたホストの行動 Target Index 攻撃対象となっているホスト C&C C&C に接続しているホスト DDoS Source DDoS 攻撃の発信元ホスト Data Hoarding 内部での情報漏洩行動 Policy Violation 通常を超えるデータ量違反

21 StelathWatch での脅威可視化 詳しいコンテキスト情報 典型的な攻撃検知画面を追加どこから いつ 誰が 何を どのように 誰と

22 2 つのソリューション Sensor & Enforcer NetFlow を利用した ふるまい監視 + 防御 Network as a Sensor = 脅威の可視化 NetFlow を利用して怪しい ふるまい を検知 & アラート送信 既知の脅威 外部からの攻撃だけでなく 内部で拡散する脅威にも有効 シグネチャ不要 ( ふるまいを分析します ) 端末 サーバにソフトウェアインストール不要 Network as a Enforcer = 防御の適用 脅威と判断したフローを遮断 Cisco ISE と連携して脅威の発信元をユーザー名で特定

23 Cisco StealthWatch & ISE( 認証サーバ ) 連携 ユーザー ID での脅威発信元特定 Sensor StealthWatch Management Console (SMC) 脅威の発信源をユーザ ID で特定 IP アドレスが頻繁に変わる環境でも脅威の発信元を明確に特定 StealthWatch FlowCollector Cisco ISE NetFlow Users/Devices Cisco Network NetFlow Capable

24 Enforcer: TrustSec/ISE とよる脅威からの防御 Enforcer Cisco Stealthwatch と ISE の連携で脅威の発信元を遮断 (Enforce) Cisco WLAN Controller ネットワーク コア Cisco ISE 無線 ネットワーク 有線 ネットワーク 1 ISE で脅威発信元端末を特定 2 Stealthwatch から WLC スイッチに遮断指示 3 AP での通信切断 スイッチのポートダウン

25 デモシナリオ Security カテゴリより Cisco Cyber Threat Defense 6.7 v1 日本語化済み!! Enterprise Networking カテゴリより Cisco Network as a Sensor and Enforcer Lab v1.0 近日リリース!

26 センサーソリューション構成機器 ( 必須 ): NetFlow 対応デバイス FlowCollector へトラフィック情報を転送する非サンプル型の情報取得が重要 NetFlow 搭載機器 StealthWatch Flow Collector NetFlow Data SFC と記述ネットワーク機器から NetFlow 情報を受け取ってセキュリティ分析を行い 脅威の検出を行う StealthWatch Management Console Aanlytic Data SMC と記述管理コンソール 複数の FlowCollector や ISE( 後述 ) の情報を統合して 脅威の可視化や対策を行う

27 センサーソリューション構成機器 ( 追加要素 ): Identity Service Engine ISE と記述 Cisco の認証サーバ Radius での認証情報を SMC に提供するだけでなく 脅威検出時には SMC と連携してネットワーク機器へのポリシー変更を実施する (Enforcement) Cisco ISE Radius AAA ID 連携脅威対策

28 Cyber Treat Defense 構成 dcloud 必須要素となる Management Console(SMC) と Flow Collector(SFC) を主に操作する構成 脅威通信 ( 攻撃 ) も自動で生成 ラボ起動から十分時間を置く必要あり それぞれの製品単体での GUI 動作確認やデモに最適 FlowCollector Management Console ローカル PC

29 Cisco Network as a Sensor and Enforcer Lab 構成 ( 予定 ) 必須要素の SMC, SFC に加え ISE/ スイッチを含めて操作する Enforcer 構成 各製品の設定確認 投入を行うハンズ オン形式 最終的に攻撃の封じ込めまでを確認する ローカル PC

30 デモ画面例 Cyber Threat Defense 構成 Sensor / Enforcer 構成 ( 予定 )

31 Thank you.