VMware vDefend с инновационным помощником на основе GenAI ускоряет защиту от угроз программ-вымогателей (ransomware), предоставляя объяснения, ориентированные на контекст цепочки атаки, коррелированные сведения о кампаниях угроз и направленные рекомендации по их устранению.
Сегодня вокруг генеративного AI (GenAI) много энтузиазма, не только среди предприятий, но и среди злоумышленников, стремящихся расширить свои возможности для вымогательства. По мере развития этих технологий они будут глубже интегрироваться в рабочие процессы, помогая предприятиям превентивно ликвидировать новые угрозы.
VMware vDefend находится на переднем крае инноваций в области AI и ML, включая использование AI для рекомендаций по правилам микросегментации и применение ML к трафику и контекстам рабочих нагрузок для получения детализированных сведений. Сейчас VMware сделала логичный, но важный следующий шаг, используя GenAI и крупные языковые модели (LLM), чтобы ещё больше помочь клиентам защитить свои ценные активы.
За последний год команда VMware усердно работала над инициативой под названием Project Cypress. Результатом стал Intelligent Assist for vDefend, основанный на GenAI и LLM. Эта новая возможность упрощает работу команд виртуализации, сетевой безопасности и SOC, помогая им понять детальную, контекстуальную информацию об активных угрозах и их влиянии. Всего за несколько кликов команды могут инициировать устранение, упрощая процессы, которые раньше требовали сложных рабочих процессов с использованием нескольких продуктов. Улучшая реакцию на угрозы, Intelligent Assist for vDefend позволяет командам по безопасности и инфраструктуре работать более слаженно для защиты от атак вымогателей и вносить больший вклад в безопасность.
Детализация сложных угроз и предупреждений безопасности
До появления GenAI корреляция действий по кампаниям или исследование связей между угрозами и предупреждениями были трудоемким процессом. Попытки интегрировать несколько точечных решений зачастую добавляли сложности, увеличивая риск ошибок и появления «слепых зон».
Зачастую важный контекст события — например, что происходило до и после него — упускался из виду. Хотя существует множество систем для оценки серьезности или влияния уязвимостей, они не могут передавать эту информацию на естественном языке, что затрудняет оценку масштаба кампаний угроз. Обмен индикаторами компрометации (Indicators of Compromise, IoC) для обнаружения угроз также был исторически сложным по аналогичным причинам.
Генеративный AI ускоряет и упрощает операции по поддержанию безопасности. Инструменты на базе GenAI значительно увеличивают способность команд безопасности обрабатывать большие объемы предупреждений, которые иначе были бы перегружающими из-за их количества. GenAI может сэкономить часы — или даже дни — ручных усилий, интеллектуально приоритизируя и коррелируя эти предупреждения для надлежащего устранения. Это повышение скорости напрямую улучшает защиту от угроз.
Решение Intelligent Assist для vDefend
В основе Intelligent Assist лежит интерактивный чат-бот на базе большой языковой модели (LLM), интегрированный непосредственно в интерфейс vDefend. Этот чат-бот объясняет события обнаружения простым языком, помогая командам безопасности понять полный масштаб угроз, одновременно улучшая сотрудничество по всей организации. Это не только снижает частоту ложных срабатываний, но и ускоряет процесс устранения угроз. С помощью простого интерфейса на естественном языке аналитики могут задавать конкретные вопросы для получения более глубокого контекстного понимания, когда это необходимо.
Ключевые функции Intelligent Assist для vDefend включают объяснение угроз на простом языке, а также возможности автоматизированного реагирования и устранения. Платформа разработана на принципах простоты и интуитивности.
Давайте рассмотрим эти функции подробнее.
Объяснимость
Рассмотрим типичную ситуацию с программой-вымогателем, включающую эксфильтрацию данных с использованием таких инструментов, как dnscat, который создает зашифрованное управление и контроль (Command-and-Control, C&C) по протоколу DNS.
Благодаря обширному набору сигнатур IDS, vDefend обнаруживает эту вредоносную активность и генерирует событие высокого уровня важности. Intelligent Assist предоставляет дополнительный контекст для оператора SOC, указывая, что другие события предполагают, что исходным вектором атаки стал Darkside ransomware. Более того, он подтверждает, что влияние значительное, но в настоящее время ограничено определенной рабочей нагрузкой. Обладая этой информацией, команда SOC может уверенно сделать вывод, что событие является истинно положительным, и инициировать немедленные действия.
Способность Intelligent Assist объяснять угрозы и события на простом языке позволяет командам по безопасности, сетям и виртуализации мгновенно оценивать масштаб и влияние отдельных угроз. Автоматически выявляя связанные события и отображая индикаторы компрометации (IoC), он устраняет пробелы в видимости в рамках стека безопасности и значительно ускоряет получение информации по сравнению с тем, что было доступно ранее.
Автоматический ответ и устранение
После подтверждения события как истинно положительного, важно быстрое и эффективное устранение. Здесь снова приходит на помощь Intelligent Assist, принимая автоматические и немедленные меры по устранению, в то время как вы продолжаете собирать информацию и проводить экспертный анализ.
В зависимости от вашей терпимости к риску и потенциального влияния на легитимный трафик и производительность бизнеса, вы можете выбрать между целенаправленным или комплексным ответом:
Целенаправленный ответ: этот подход направлен на узкие, конкретные меры по устранению для минимизации нарушения бизнес-процессов. Однако такая «точечная» стратегия несет риск неполного сдерживания атаки.
Комплексный ответ: более широкий по охвату, этот подход «молотка» с большей вероятностью предотвращает боковое распространение угрозы, но также несет больший риск нарушения нормальной работы бизнеса.
Когда Intelligent Assist выявляет кампанию атаки, он рекомендует соответствующую стратегию реагирования. В приведенном ниже примере, касающемся продолжающейся атаки программ-вымогателей, Intelligent Assist рекомендовал политику комплексного устранения. Несмотря на автоматизацию создания политик, Intelligent Assist не предназначен для работы в полностью автономном режиме. Окончательное решение остается за командой безопасности — Intelligent Assist генерирует политику, но она не применяется, пока ее не проверит и не активирует эксперт по безопасности. В данном случае рекомендованная политика блокирует всю исходящую DNS-коммуникацию от затронутой рабочей нагрузки, чтобы предотвратить дальнейшее распространение угрозы.
Бесшовный и интуитивно понятный интерфейс
При разработке Intelligent Assist в VMware сосредоточились на том, чтобы сделать интерфейс максимально удобным и интуитивно понятным для конечного пользователя. Такие функции, как экспорт чата, позволяют пользователям легко сохранять и делиться важными инсайтами из диалогов с другими командами, а встроенные механизмы обратной связи обеспечивают улучшение ответов системы со временем. Intelligent Assist также предлагает рекомендации по запросам, помогая даже самым неопытным пользователям раскрыть весь его потенциал. Административная панель создана для упрощения управления пользователями, а поддержка многопользовательских сессий и инструменты управления рабочими процессами способствуют эффективному сотрудничеству между различными командами. Развертывание Intelligent Assist не требует усилий — решение использует безопасное расширение для браузера Chrome, обеспечивая прямой канал связи. Просто скачайте расширение, и все готово к работе.
Чтобы узнать больше о Intelligent Assist, посмотрите техническую сессию VMware Explore Las Vegas 2024, доступную здесь.
В этом демо-ролике, представленном компанией VMware, демонстрируется, как можно использовать VMware vDefend для блокировки небезопасных протоколов и защиты рабочих нагрузок в корпоративной инфраструктуре от потенциальных угроз.
Проблема небезопасных протоколов
Небезопасные протоколы, такие как SMB версии 1, могут быть уязвимы для атак. Например, уязвимость SMBv1 может позволить злоумышленнику получить доступ к виртуальной машине, если система не была своевременно обновлена. Проблема может усугубляться тем, что в некоторых случаях обновление системы невозможно из-за бизнес-ограничений.
Для демонстрации в видео используются две машины:
Windows 7 с включенным SMBv1, которая не предназначена для предоставления файловых сервисов.
Windows Server 2016, выступающий в роли файлового сервера, который хранит конфиденциальные данные компании.
Обе машины не обновлялись, что делает их уязвимыми для эксплоита EternalRomance. Эта уязвимость позволяет злоумышленнику получить доступ к системе, после чего он может похитить данные или перемещаться по сети, атакуя другие машины.
Как VMware vDefend защищает инфраструктуру
1. Ограничение доступа с использованием брандмауэра (DFW)
В первую очередь, демонстрируется, как злоумышленник использует уязвимость на машине с Windows 7, которая не является файловым сервером, но продолжает принимать SMB-трафик. После успешного взлома злоумышленник получает неограниченный доступ к системе.
Чтобы предотвратить подобные атаки, с помощью VMware vDefend создается правило, которое ограничивает доступ к сервисам SMB только для нужных диапазонов IP-адресов (RFC 1918 в этом примере). Все остальные подключения, использующие SMB, будут заблокированы. Таким образом, злоумышленник больше не может воспользоваться уязвимостью Windows 7, и попытка повторного взлома завершается неудачей.
2. Защита файлового сервера с использованием Intrusion Detection and Prevention (IDP)
Вторая часть видео фокусируется на защите Windows Server 2016. Поскольку файловый сервер должен продолжать предоставлять доступ к конфиденциальным данным, простое блокирование SMB не подходит. Для этого используется система обнаружения и предотвращения вторжений (IDP), которая контролирует трафик и блокирует вредоносные пакеты.
Для защиты сервера создается специальный профиль, который отслеживает все попытки проникновения через протокол SMB и, при обнаружении подозрительного трафика, блокирует его. В случае атаки трафик блокируется, и вредоносное ПО не может выполнить свои действия, предотвращая эксплуатацию системы.
Мониторинг событий и дальнейшие действия
После блокировки атаки администраторы могут использовать встроенные инструменты мониторинга для детального анализа инцидента. В VMware vDefend доступны такие данные, как IP-адреса источников, целевые машины, идентификаторы сигнатур атак и другие полезные сведения, которые можно передать в команду безопасности (SOC) для дальнейшего расследования.
Также можно экспортировать захваченные пакеты для их анализа в сторонних программах, таких как Wireshark, что позволяет точно выяснить, какие данные пытался отправить злоумышленник.
VMware vDefend предоставляет мощные инструменты для защиты рабочих нагрузок от небезопасных протоколов, предотвращая эксплуатацию уязвимостей, боковое перемещение злоумышленников в сети и утечку данных. В видео выше демонстрируется, как можно комбинировать функции брандмауэра и системы предотвращения вторжений для обеспечения всесторонней безопасности корпоративной инфраструктуры.
Продолжаем рассказывать об анонсах новых продуктов и технологий, представленных на конференции VMware Explore 2024.
На мероприятии VMware представила последнюю версию своего пакета безопасности VMware vDefend 4.2, о котором мы рассказывали вот тут. Эта версия представляет собой значительный шаг вперёд и опирается на прочную основу, заложенную её предшественниками, предлагая улучшенную масштабируемость, более точное обнаружение угроз и упрощённое управление.
Улучшенная масштабируемость и производительность
Одним из наиболее заметных улучшений в vDefend 4.2 является значительное увеличение масштабируемости. Новая версия демонстрирует прирост производительности до 10 раз, что гарантирует защиту даже самых требовательных сред без ущерба для скорости или эффективности.
Функция распределённого брандмауэра в vDefend 4.2 теперь поддерживает защиту VLAN и распределённых порт-групп наряду с сегментами, поддерживаемыми NSX. Это дополнение дает администраторам большую гибкость в применении политик безопасности для различных сетевых сегментов, что упрощает защиту широкого спектра виртуализированных сред.
Продвинутая защита от угроз
В vDefend 4.2 появилось 14 детекторов сетевого трафика, использующих машинное обучение и AI для обнаружения аномалий. Эта возможность продвинутой защиты от угроз позволяет осуществлять проактивную защиту как от известных, так и от неизвестных угроз. Решение для обнаружения и реагирования на сетевые угрозы (NDR), управляемое AI, непрерывно мониторит сетевой трафик, изучая нормальные шаблоны, чтобы в реальном времени обнаруживать и реагировать на вредоносную активность.
Упрощённое управление и дополнительные функции
Управление обнаружением и предотвращением вредоносного ПО стало проще в vDefend 4.2 благодаря новой функции упрощённого управления жизненным циклом Malware SVM. Эта функция устраняет необходимость в ручной установке веб-серверов, позволяя развертывать служебные виртуальные машины (Service VM) напрямую через API-вызовы. Кроме того, vDefend 4.2 поддерживает файлы OneNote, расширяя возможности обнаружения вредоносного ПО. Решение также вводит настраиваемую пользователем функцию обхода избыточной переподписки, которую можно применить глобально или для отдельных правил, что обеспечивает эффективное управление конкуренцией ресурсов без ущерба для безопасности.
Централизованное управление политиками и мониторинг
vDefend 4.2 предлагает централизованное управление политиками как для виртуальных машин, так и для контейнеров. Новая панель управления операциями брандмауэра полностью настраивается, позволяя пользователям мгновенно просматривать основные правила, вычислительные ресурсы и группы. Эти улучшения предоставляют администраторам более глубокие сведения о состоянии безопасности и облегчают применение единых политик безопасности во всей инфраструктуре.
Интеллектуальная безопасность и интеграция
Интеллектуальная безопасность была ключевым аспектом в разработке vDefend 4.2. Решение теперь беспрепятственно интегрируется с инструментами сторонних разработчиков, такими как SPLUNK и vLog Insight, что позволяет осуществлять комплексное логирование и анализ событий безопасности. Эта интеграция поддерживает более быстрое реагирование на инциденты и более эффективное ограничение угроз.
Как работает система обнаружения и реагирования на сетевые угрозы (NDR)?
Системы Network Detection & Response (NDR) непрерывно мониторят и анализируют огромные объёмы сетевого трафика и событий безопасности по различным элементам и сегментам сети. Эти системы собирают данные как с периметра сети, охватывая трафик «north-south», так и с внутренних сетевых сенсоров, которые отслеживают трафик «east-west». Используя AI и машинное обучение, инструменты NDR устанавливают базовую линию нормальной сетевой активности. Эта базовая линия позволяет системе идентифицировать и отмечать любые отклонения, которые могут указывать на вредоносное поведение.
Инструменты NDR, основанные на AI, разработаны для того, чтобы эволюционировать вместе с новыми угрозами, постоянно обучаясь на новых данных для улучшения своих возможностей обнаружения. Когда атака идентифицирована, решения NDR могут предоставить всестороннюю криминалистическую информацию, описывая всю хронологию атаки — от начального проникновения до латеральных перемещений внутри сети. Кроме того, эти системы могут автоматически инициировать процессы предотвращения и смягчения последствий для локализации и нейтрализации угрозы.
Обновления продукта в будущем
В будущем VMware намерена развивать vDefend в рамках стратегических обновлений, которые соответствуют ключевым направлениям инноваций компании. План будущих разработок включает:
Gen AI Intelligent Assist: VMware планирует интегрировать интеллектуальную помощь на базе GenAI для защиты от угроз, что улучшит сортировку оповещений и предоставит контекстные данные о кампаниях угроз. Эта функция также будет предлагать рекомендации по устранению проблем, что упростит управление и реагирование на инциденты безопасности.
Продвинутая защита от угроз: ожидаются значительные улучшения производительности распределённых систем IDS/IPS, с увеличением производительности до 3 раз по сравнению с текущими уровнями. VMware также представит настраиваемые сигнатуры для IDS/IPS, возможности быстрой оценки угроз и улучшенные меры по предотвращению вредоносных программ для локальных сред. Кроме того, будут развернуты новые датчики NDR для защиты физических серверов, что расширит возможности обнаружения угроз vDefend.
Упрощение операций: предстоящие обновления упростят операции безопасности за счёт интеграции рабочих процессов с нативной функциональностью VPC в VCF 9. VMware также планирует ввести поддержку федерации для политик IDS/IPS и улучшить анализ правил брандмауэра, что сделает управление политиками более эффективным.
Более подробно о продукте VMware vDefend можно почитать здесь.
Современным предприятиям приходится противостоять постоянным атакам вредоносных программ и программ-вымогателей, чтобы защитить свои главные ценности – приложения и данные. Все рабочие нагрузки частного облака – как критические, так и некритические – должны быть одинаково защищены, чтобы затруднить проникновение злоумышленника. В случае проникновения важно ограничить латеральное (east-west) движение вредоносного кода и быстро обнаружить и устранить угрозы.
Комплексная стратегия защиты частного облака требует многогранного подхода: видимость приложений и угроз, многоуровневая сегментация и защита от атак. VMware vDefend для безопасности нулевого доверия при латеральном движении (zero trust lateral security) предоставляет интегрированное решение безопасности полного стека, включая передовую защиту от угроз (advanced threat prevention, ATP), и является plug-and-play решением для платформы VMware Cloud Foundation (VCF). Предприятия могут реализовать многоуровневую глубокую защиту рабочих нагрузок приложений, используя возможности vDefend, приведенные на диаграмме ниже:
С помощью единой консоли vDefend, одного звонка в поддержку, встроенной облачной операционной модели и управляемого AI/ML интеллекта, команды безопасности могут значительно упростить защиту рабочих нагрузок приложений (виртуальные машины, контейнеры и физические серверы) и ускорить обнаружение и устранение угроз. Им больше не нужно сталкиваться с затратами и сложностью управления множеством отдельных продуктов.
Сегодня VMware еще больше укрепляет свой портфель vDefend для безопасности нулевого доверия с помощью следующих улучшений:
Улучшения масштабируемости брандмауэра
Увеличение масштаба правил и групп брандмауэра от 1,5 до 10 раз для расширения безопасности на все рабочие нагрузки VCF (критические и некритические).
Расширенная защита от Ransomware для east-west трафика
Многоконтекстный NDR теперь доступен on-oremise для соблюдения требований и в регулируемых средах, особенно в государственных, финансовых и медицинских секторах. Также появилась интеграция коррелированных событий угроз многоконтекстного NDR с SIEM сторонних производителей для быстрого обнаружения угроз.
Упрощение операций с брандмауэром для восток-западного трафика:
Существенно упростились операции с брандмауэром с помощью новых панелей управления. Ускорилось устранение неполадок для рабочих нагрузок Kubernetes с новыми улучшениями трассировки. Появилось централизованное управление политиками брандмауэра, которое теперь включает рабочие нагрузки Kubernetes, предоставляя единое окно управления политиками для всех рабочих нагрузок.
Оптимизированное развертывание средств безопасности
Инструмент для сайзинга позволяет команде безопасности точно планировать мощности, особенно в больших средах, и значительно сокращает время развертывания для достижения полной видимости VM-to-VM.
Обеспечение безопасности east-west трафика в масштабе облака
Значительное увеличение масштабируемости правил и групп распределенного и шлюзового сетевого экрана
Современное предприятие состоит из тысяч приложений, которые необходимо защищать с помощью политик управления доступом, применяемых к группам приложений. Архитектура распределенного брандмауэра и шлюзового брандмауэра vDefend была улучшена для поддержки значительно большего масштаба правил и группировки – от 1,5 до 10 раз. Теперь предприятия могут обеспечить равную защиту всех рабочих нагрузок – критических и некритических – и таким образом сделать проникновение для злоумышленников крайне сложным.
Расширенная защита от Ransomware для east-west трафика
Многоконтекстное обнаружение и реагирование на угрозы в сети (NDR) теперь доступно on-premise
У многих клиентов VMware есть высокочувствительные рабочие нагрузки, которые требуют строгого соблюдения конфиденциальности данных и их суверенитета. С внедрением локального решения vDefend Network Detection and Response (NDR) решаются проблемы клиентов, связанные с конфиденциальностью данных. vDefend NDR продолжает обнаруживать известные угрозы и угрозы нулевого дня, используя многоконтекстные коррелированные инсайты (по данным от распределённых IDS/IPS, распределённых NTA и контекстов предотвращения вредоносных программ, учитывающих специфику виртуальных машин) для выявления пакетов угроз с высокой точностью. Команды сетевой безопасности и безопасности операций получают всесторонний обзор попыток латерального вторжения в среде приложений.
Интеграция vDefend NDR с внешними SIEM для эффективного обнаружения и оценки угроз
Команды безопасности часто полагаются на системы SIEM (Security Information and Event Manager) как на отправную точку для обнаружения и реагирования на угрозы в их среде приложений. Прямолинейный подход к экспорту предупреждений NDR, связанных с трафиком east-west, может перегрузить SIEM. Вместо этого vDefend NDR регистрирует полностью коррелированные кампании вторжений и отдельные события обнаружения угроз в SIEM, что позволяет операторам SOC эффективно проводить оценку и быстро реагировать на угрозы. Журналирование событий угроз также позволяет организациям выполнять требования комплаенса. Полный захват пакетов (PCAPS) для связанных событий обнаружения IDS также доступен для помощи в расследовании угроз.
Упрощение операций с фаерволом для east-west трафика приложений
Усовершенствованная аналитика операций фаервола с новыми панелями управления
В рамках постоянных усилий по автоматизации и упрощению операций с брандмауэром VMware предоставляет агрегацию и корреляцию данных трафика east-west для принятия эффективных оперативных решений по микросегментации. Новая панель управления решает очень острую проблему отсутствия видимости такого трафика в аналитике безопасности внутри частного облака.
Операционные панели управления предоставляют информацию о наиболее часто срабатывающих правилах фаервола, самых активных участниках сети и наиболее инспектируемом трафике, а также классификацию источников, назначений и объема трафика. Эта новая панель управления упрощает корреляцию различных событий безопасности и обогащает отчеты о сетевом трафике для повседневных операций. Она также помогает выявлять проблемы с безопасностью или эксплуатацией на основе шаблонов.
Упрощение устранения неполадок распределенного фаервола для рабочих нагрузок Kubernetes
Поскольку клиенты внедряют модели нулевого доверия для своих рабочих нагрузок Kubernetes (в дополнение к рабочим нагрузкам виртуальных машин), важно, чтобы команды сетевой безопасности могли обнаруживать и устранять неполадки сетевых путей. VMware добавила информацию о правилах фаервола к трассировке потоков, что может помочь обнаружить и понять роль фаервола в конкретном типе сетевого потока. Это дает командам сетевой безопасности единый инструмент, который учитывает микросегментацию, развернутую для рабочих нагрузок виртуальных машин, а также для подов Kubernetes в их датацентре.
Централизованное управление политиками для нативных политик безопасности Kubernetes
С ростом популярности приложений на базе Kubernetes, использование нативных сетевых политик Kubernetes стало повсеместным. vDefend предоставляет единое окно для централизованного управления как политиками, установленными администраторами безопасности, так и политиками, созданными разработчиками. Политики безопасности Kubernetes, созданные разработчиками, больше не являются "черным ящиком" для администратора сетевой безопасности. Это значительно помогает упростить аудит, устранение неполадок, связанных с несоответствиями политик, и сортировку инцидентов, связанных с угрозами.
Безопасность и аналитика – упрощенное развертывание
Утилита для сайзинга обеспечивает точное планирование емкости для видимости трафика east-west
Видимость трафика east-west на уровне виртуальных машин критически важна для обеспечения безопасности — видеть трафик необходимо для его защиты. Безопасность и аналитика предоставляют детальную видимость трафика между виртуальными машинами и рекомендуют правила безопасности для распределённого фаервола. Из-за большого объема трафика east-west и связанных с ним потоков клиентам часто трудно определить правильный размер узлов для безопасности и аналитики. Новый инструмент для сайзинга позволяет точно планировать емкость, позволяя клиентам развертывать безопасность и аналитику в нужном масштабе.
С описанными инновациями vDefend для безопасности нулевого доверия VMware продолжает укреплять защиту рабочих нагрузок VCF для противостояния постоянно меняющемуся ландшафту угроз. Уникальное сочетание контроля фаервола, видимости на уровне виртуальных машин и передовой защиты от угроз для трафика приложений east-west обеспечивает истинную многоуровневую защиту. Инициатива VMware Project Cypress – помощник по защите от угроз на основе GenAI – должна еще больше упростить и ускорить сортировку и устранение угроз. VMware поделится новыми улучшениями vDefend на конференции Explore 2024 в Лас-Вегасе (26–29 августа 2024 года).
RSS
