Компания R-Vision объявила о выходе коммерческого релиза продукта R-Vision Threat Deception Platform (R-Vision TDP). R-Vision TDP относится к классу платформ для создания распределённой инфраструктуры ложных целей (Distributed Deception Platform, DDP), использующих техники активного обмана. Это позволяет обнаруживать вторжение злоумышленников и вводить их в заблуждение, искажая восприятие корпоративной сети при помощи ложных элементов.
В основе всех технологий Deception находится концепция, что любая компания по умолчанию является скомпрометированной. Классические периметровые средства защиты и мониторинга в современных реалиях теряют свою эффективность – рано или поздно злоумышленники проникают в инфраструктуру организации и могут месяцами изучать ее, оставаясь незамеченными.
Технологии Deception выступают одним из последних эшелонов обороны, способным замедлить и выявить киберпреступника. С помощью набора взаимосвязанных друг с другом ловушек и приманок система позволяет ввести хакера в заблуждение, обнаружить его присутствие в корпоративной сети на ранних стадиях, а также дает возможность предотвратить развитие атаки до нанесения им существенного ущерба.
Система R-Vision Threat Deception Platform предоставляет пользователям возможность автоматически разворачивать сети ловушек и приманок из готовых шаблонов. Кроме того, R-Vision TDP позволяет на основе данных об инфраструктуре создать ловушки и приманки максимально похожие на специфические системы и ИТ-активы заказчика. Платформа может воспроизводить рабочие станции, устройства, приложения, сетевое оборудование, серверы, а также имитировать сетевое взаимодействие. Эти ловушки могут быть незаметно размещены в инфраструктуре организации, став неотличимыми от настоящих хостов. Любое взаимодействие с ловушками будет свидетельствовать об инциденте и создаст оповещение в системе.
Для привлечения внимания атакующего на ловушках и по узлам реальной инфраструктуры автоматически расставляются приманки — ресурсы, потенциально представляющие интерес для злоумышленника. К ним относятся файлы конфигураций, история браузера, черновики, ключи SSH, файлы с паролями и другими данными. При этом ловушки и приманки могут быть сгенерированы на основе паттернов, принятых в организации. Например, при создании ложных учетных записей и генерации паролей будут использованы данные из службы каталогов.
Ловушки размещаются на отдельных серверах Trap Manager, в то время как управление платформой и всей эмулированной инфраструктурой происходит на сервере Control Center. Для инфраструктур крупных организаций задача масштабирования легко решается за счёт добавления необходимого количества серверов Trap Manager.
«Deception или так называемые «технологии киберобмана» – это следующий шаг в развитии систем безопасности для обнаружения различных угроз на ранней стадии, в том числе АРТ-атак и угроз нулевого дня. R-Vision TDP – эффективный продукт, который позволит быстро выявить начало атаки, собрать информацию о тактиках и инструментах злоумышленника, а также проанализировать слабые места в защите инфраструктуры», – отметил Иван Шаламов, менеджер продукта R-Vision TDP.
Для максимальной реалистичности ловушек и приманок можно использовать данные об активах из систем R-Vision IRP (Incident Response Platform) или R-Vision SGRC (Security Governance, Risk Management and Compliance), с которыми настроена интеграция. Платформа R-Vision TDP детектирует взаимодействие как внешних, так и внутренних нарушителей с ловушками и направляет оповещения ИБ-специалисту. Далее для расследования эти события могут быть направлены в R-Vision SENSE, что позволит автоматически построить таймлайны по взаимодействию с ловушками, предоставляя необходимый контекст аналитику SOC. Полученные инциденты можно передать в R-Vision IRP и автоматизировать реагирование на них с помощью плейбуков.
Кроме того, атрибуты и индикаторы компрометации, собранные R-Vision TDP в результате анализа действий злоумышленника, могут автоматически передаваться в платформу анализа информации об угрозах R-Vision TIP (Threat Intelligence Platform). Система R-Vision TIP, в свою очередь, позволит обогатить эти данные, выявить взаимосвязи с другими доступными данными TI, настроить автоматический мониторинг в событиях SIEM, а также экспортировать индикаторы компрометации на средства защиты для блокировки.
Игорь Сметанев
«Платформа R-Vision TDP является важным элементом в экосистеме продуктов R-Vision, позволяющим выявлять инциденты безопасности, которые сложно обнаружить другими средствами. Используя R-Vision TDP в комплексе с другими продуктами R-Vision, наши заказчики получат дополнительный эффект, что позволит поднять процесс обнаружения угроз безопасности на принципиально новый уровень. На сегодняшний день мы уже провели ряд закрытых демонстраций продукта и на основе полученных положительных отзывов объявляем о старте пилотных проектов».
