Ponieważ w trakcie tego procesu analizowane jest zachowanie kodu, sandbox może wykrywać nawet złośliwe oprogramowanie zero-day i ataki ukierunkowane. Na rynku dostępnych jest wiele tego typu rozwiązań, ale nie wszystkie radzą sobie dobrze z coraz bardziej udoskonalonymi metodami ataku, zaprojektowanymi tak, aby uniknąć wykrycia. Część systemów sandbox działa też bardzo powoli, przez co analiza potencjalnego zagrożenia trwa nieakceptowalnie długo.

Wykrywanie zagrożeń zanim zaatakują

Dzięki automatyzacji cyberprzestępcy zintensyfikowali swoje działania, przez co działy SOC miewają trudności z opanowaniem zalewu podejmowanych prób ataku z wykorzystaniem złośliwego oprogramowania. Ich pracę ułatwiają usługi wyposażone w moduł sandbox, jak VMRay Detector, które w pełni zautomatyzowany i szybki sposób są w stanie przetwarzać duże ilości kodu w poszukiwaniu złośliwego oprogramowania. Rozwiązanie to może być zintegrowane z innymi narzędziami ochronnymi i przyjmować od nich ogromne ilości danych. Są wśród nich bramy poczty elektronicznej i sieci web, oprogramowanie zabezpieczające dla urządzeń końcowych, mechanizmy ochronne systemów operacyjnych i inne.

VMRay Detector poddaje wszystkie te dane wieloetapowemu, w pełni zautomatyzowanemu procesowi detekcji z wykorzystaniem różnych technik. Nieszkodliwe treści są odpowiednio oznaczane, zaś podejrzane lub nieznane próbki są poddawane dalszej, dokładniejszej analizie. Jej wyniki mogą być wykorzystywane przez inne narzędzia ochronne w celu zautomatyzowania procesu podejmowania decyzji o zablokowaniu lub zezwoleniu na uruchomienie danego kodu. Tam, gdzie jest to uzasadnione, wyniki te mogą być dostępne dla zespołu CERT w celu przeprowadzenia głębszego dochodzenia i reagowania na incydenty.

Moduł sandbox, będący podstawą działania VMRay Detector, zbudowany jest z wykorzystaniem unikalnego hyper-visora, dzięki czemu zminimalizowane jest odkrycie przez złośliwy kod, że został uruchomiony w celu przeprowadzenia jego analizy. Taktyka pracy tego rozwiązania została zbudowana na trzech filarach – Teraz, Wkrótce, Głębiej (Now, Near, Deep). Umożliwiło to zagwarantowanie usystematyzowanego podejścia do walki z zagrożeniami i jego automatyzację.

W trakcie etapu Teraz zapewniana jest szybka (trwająca milisekundy) weryfikacja reputacji potencjalnych zagrożeń na bazie różnych dostępnych źródeł – moduł wyszukiwania identyfikuje i odrzuca znane oraz niegroźne pliki czy adresy URL, zaś te złośliwe przekazuje do dalszej analizy. Etap Wkrótce oznacza, że w ciągu kilku sekund opatentowany przez VMRay mechanizm analizy statycznej sprawdzi znajdujące się w plikach skrypty, makra i inne aktywne elementy, które mogą wskazywać na zaplanowany wieloetapowy atak. Pliki, wobec których podejrzenia są utrzymane, przekazywane są do Głębokiej analizy – dochodzi do pełnego uruchomienia kodu w module sandbox w celu obserwacji jego zachowania.

Cel: znaleźć to, czego inni nie dostrzegają

VMRay Analyzer to kolejne przełomowe narzędzie, które ułatwia stawienie czoła najtrudniejszym wyzwaniom stojącym przed zespołami SOC i DFIR (Digital Forensics and Incident Response). Zapewnia ono dynamiczną analizę zaawansowanych zagrożeń, w tym ataków zero-day i ukierunkowanych. Dzięki wyeliminowaniu wad, które obecne są w innych tego typu produktach, VMRay Analyzer jest rozwiązaniem do analizy najczęściej wybieranym przez wiodące zespoły DFIR na całym świecie. Jednym z jego wyróżników jest to, że niemal całkowicie wyeliminowano liczbę fałszywych alarmów.

Rdzeniem VMRay Analyzer jest bezagentowy moduł sandbox X-Ray Vision, bazujący na hypervisorze, który w unikalny sposób gwarantuje niemal stuprocentowe wykrywanie ataków oraz pełny wgląd w mechanizm funkcjonowania złośliwego oprogramowania. Proces pozyskania próbek złośliwego kodu został bardzo dokładnie przemyślany pod kątem cyfrowej kryminalistyki i wywiadu dotyczącego zagrożeń – zbierane są wszystkie dane kontekstowe, opisujące pojawienie się podejrzanego kodu u potencjalnej ofiary, ale zadbano o to, aby działania te były niewidoczne dla atakujących.

Do VMRay Analyzer wprowadzono także mechanizmy, które symulują pracę użytkownika (spowalniają przeprowadzenie wybranych akcji) oraz w sztuczny sposób doprowadzają do restartu wirtualnej maszyny, co może być jednym z czynników skłaniających złośliwy kod do rozpoczęcia pracy. Z kolei moduł analizy manualnej pozwala członkom zespołu ds. bezpieczeństwa na interakcję z podejrzanym złośliwym kodem – podglądanie jego zachowania w czasie zbliżonym do rzeczywistego w celu zidentyfikowania wskaźników ataku IoC (Indicator of Compromise) oraz zaobserwowania szkodliwego zachowania, które czasami umyka metodom automatycznym.

Pełna funkcjonalność VMRay Analyzer jest zgodna z regułami opisanymi w metodyce analizy zagrożeń MITRE ATT&CK. Została też odwzorowana we wbudowanym interfejsie REST/JSON, co umożliwia zespołom ds. bezpieczeństwa zautomatyzowane przesyłanie podejrzanych plików, adresów URL, informacji o ruchu sieciowym i zmianach w rejestrze, łatwe pozyskiwanie informacji o zagrożeniach oraz integrację VMRay Analyzer z innymi narzędziami bezpieczeństwa w heterogenicznych środowiskach. Warto wspomnieć także o mechanizmach Golden Images oraz Cloud Localization, które umożliwiają replikację środowiska produkcyjnego użytkowników w celu optymalizacji wykrywania ukierunkowanego złośliwego oprogramowania.

Wyłącznym dystrybutorem rozwiązań VMRay w Polsce jest firma Ingram Micro.

Trzy pytania do…  

Piotra Jasińskiego, Security Business Unit Managera w Ingram Micro

 

 

 

1. Wiele rozwiązań ochronnych ma wbudowaną funkcję sandboxa. Dlaczego więc warto jednak wdrażać ten moduł jako odrębny i samodzielnie działający element większego systemu?  VMRay to rozwiązanie niezależne od innych producentów, co w tym przypadku jest jego zaletą. Mechanizmy sandboxingu ewoluują wraz z rosnącym stopniem komplikacji zagrożeń, więc coś, co jest na stałe wbudowane w dane rozwiązanie ochronne i dzisiaj się sprawdza, jutro może nie wystarczyć. Dlatego w przypadku tej konkretnej grupy produktów rekomendowane jest skorzystanie z niezależnych dostawców, ale tworzących swoje produkty tak, by przez interfejs API współpracowały z innymi.

2. Co jeszcze wyróżnia rozwiązania VMRay, oprócz faktu, że są niezależne od innych producentów?  Są bardzo dobrze przemyślane, przez co ryzyko, że złośliwy kod zorientuje się, iż jest analizowany w module sandbox, jest praktycznie wyeliminowane. Dla przykładu, niektóre zagrożenia przygotowane są w taki sposób, aby były aktywne tylko w danym kraju. VMRay bierze to pod uwagę i w trakcie głębokiej analizy emuluje swoją obecność w różnych krajach. Rozwiązanie to zostało też bardzo dobrze przygotowane do odpierania ataków ukierunkowanych. Użytkownik może przygotować złoty obraz typowego komputera, który jest wykorzystywany w jego firmie, z danymi identyfikacyjnymi i innymi informacjami, a następnie wgrać go do sandboxa. Dzięki temu złośliwy kod przygotowany przeciwko konkretnej firmie będzie „myślał”, że rzeczywiście znajduje się na należącym do niej komputerze.

3. Jaka jest grupa docelowa dla tego typu rozwiązań?  Pewien poziom ochrony powinien mieć dziś każdy, ale oczywiście stopień jego zaawansowania związany jest z kosztami. Dla rozwiązań VMRay nie mamy zdefiniowanej konkretnej grupy docelowej. Zawsze jednak podkreślamy, że powinny się nimi zainteresować firmy, w których każdy przestój generuje duże straty, a także te, które podejrzewają, że mogą być potencjalną ofiarą ataku ukierunkowanego.

  

Dodatkowe informacje: Piotr Jasiński, Security Business Unit Manager, Ingram Micro, piotr.jasinski@ingrammicro.com

Artykuł VMRay: sandbox dopracowany do perfekcji pochodzi z serwisu CRN.

– Decyzja o współpracy z firmą VMRay zapadła po rygorystycznych testach w naszych dwóch europejskich ośrodkach Center of Excellence, zajmujących się cyberbezpieczeństwem. Dowiodły one, że technologia niemieckiego dostawcy, jako bardzo nowatorska i wysoce efektywna, może zapewnić natychmiastowe korzyści biznesowe szerokiemu gronu naszych partnerów handlowych – podkreśla Piotr Jasiński, Business Unit Manager, Dział Security w Ingram Micro Poland.

Duże możliwości rozwoju biznesu

Szanse na sukces są obecnie rzeczywiście duże. Według badania Allianz Risk Barometer 2020 incydenty związane z cyberzagrożeniami stanowią dziś globalnie największe ryzyko dla działalności firm. W rezultacie wśród kadry zarządzającej wyższego szczebla rosną obawy dotyczące bezpieczeństwa informacji, a CISO, czyli osoby wprost odpowiadające za obszar security, w dyskusjach z zarządami niezmiennie postulują dodatkowe inwestycje w bezpieczeństwo.

I trudno się dziwić, skoro w niezwykle dynamicznie zmieniającym się dziś krajobrazie cyberzagrożeń rozwiązania oparte na sygnaturach nie są w stanie wykryć ataków, których wcześniej nie poznano. Dlatego specjaliści VMRay’a proponują radykalne odejście od metod analizy złośliwego oprogramowania, które w tradycyjny sposób stosują tzw. piaskownicę (sandbox). Stworzyli innowacyjne rozwiązanie, które – wykorzystując hipervisor – tworzy najbardziej wszechstronną i skuteczną platformę do automatycznego wykrywania i analizy zaawansowanych zagrożeń, takich jak unikający wykrycia malware, złośliwe oprogramowanie typu zero-day czy ataki ukierunkowane.

Rozwiązanie VMRay w elastyczny sposób integruje się z istniejącymi systemami bezpieczeństwa organizacji, automatyzując przesyłanie plików i adresów URL do analizy. Dostarcza następnie precyzyjne, umożliwiające podjęcie konkretnych działań wyniki. Na ich podstawie można podjąć decyzję o zablokowaniu/zaakceptowaniu przeanalizowanych incydentów oraz zastosować inne środki bezpieczeństwa w całym przedsiębiorstwie.

Nie trzeba rezygnować z posiadanych systemów

Skierowane do użytkowników przesłanie VMRay’a brzmi: nie zastępuj istniejących systemów, ale je wzmacniaj. W ten sposób cyberodporność organizacji będzie mogła osiągnąć nowy, wyższy poziom, a jednocześnie dotychczasowe inwestycje będą nadal chronione. Wykorzystując platformę VMRay, zespoły bezpieczeństwa mogą dokonywać selekcji danych z zalewu próbek dostarczanych z wielu źródeł, takich jak systemy EDR (wykrywanie i reagowanie na punktach końcowych), zapory sieciowe, bramy pocztowe i webowe, platformy SOAR i inne narzędzia.

Rozwiązania marki VMRay automatyzują różne procesy wykrywania i analizy, zapewniając zespołom reagowania na incydenty oraz centrom SOC (Security Operations Center) dużo większą szybkość i precyzję w radzeniu sobie z rosnącą liczbą i różnorodnością zaawansowanych zagrożeń. Jest to szczególnie ważne w kontekście coraz większego niedoboru specjalistów oraz przeciążenia zespołów bezpieczeństwa – ich zmęczenie generowanymi stale alertami stało się już poważnym problemem.

Program partnerski, szkolenia i certyfikacja

Pozbawione informacji zakłócających przekaz raporty zapewniane przez narzędzia VMRay wraz z walidacją alertów i możliwościami ich selekcji ograniczają ilość danych, które analitycy zagrożeń muszą przeanalizować w celu zidentyfikowania złośliwej aktywności. W efekcie także mniej doświadczeni członkowie zespołu mogą obsługiwać zadania specjalistów wyższego szczebla, eskalując tylko te incydenty, które wymagają większych kompetencji w obszarze Incident Response. Dzięki temu starsi analitycy mogą skupić się na bardziej złożonych zagrożeniach. Ostateczny rezultat jest taki, że wszyscy członkowie zespołu są znacznie bardziej produktywni i skuteczni.

VMRay zadbał także o potrzeby resellerów i integratorów, zarówno te związane ze sprzedażą, jak też dotyczące wiedzy o produktach.

– Aby wprowadzić na rynek portfolio rozwiązań o takim potencjale, stworzyliśmy atrakcyjny program dla kanału partnerskiego. Chcemy poszerzać naszą bazę resellerską i w tym celu poszukujemy partnerów skupiających się na obszarach Incident Response i SOC. Pragniemy tworzyć silne relacje biznesowe z naszymi partnerami, zobowiązując się do zapewnienia im wsparcia w całym procesie sprzedaży, począwszy od szkoleń wdrożeniowych po wsparcie posprzedażowe – mówi Lara Maier, Channel Director Europe w VMRay’u.

Program partnerski niemieckiego producenta jest oparty na czterech poziomach partnerskich: Consultancy, Fulfillment, Silver oraz Gold. Warto podkreślić, że szkolenia i certyfikacja (VMRay Platform Certified Professional) są bezpłatne. Zespół VMRay’a, razem ze specjalistami Ingram Micro, zamierza pracować nad programami co-marketingowymi oraz działaniami mającymi na celu pozyskiwanie leadów dla swoich partnerów.

VMRay i jego innowacyjna platforma

Rozwiązania VMRay’a pomagają organizacjom chronić się przed coraz większym globalnym zagrożeniem ze strony złośliwego oprogramowania. Klienci na całym świecie wybierają technologie tej marki, aby usprawnić swoje operacje w obszarze reagowania na incydenty (Incident Response) oraz zadań SOC (Security Operations Center). Zaawansowane rozwiązania VMRay do analizy i wykrywania zagrożeń są oparte na wspólnej platformie, której podstawą jest najlepsza w swojej klasie technologia piaskownicy (sandboxingu). Wszystkie zaprojektowano pod kątem specyficznych wymagań w zakresie reagowania na incydenty i SOC. Należą do nich:

• VMRay Analyzer – najwyższy standard dynamicznej analizy malware, umożliwiającej zespołom Incident Response śledzenie i analizowanie nawet najbardziej wyrafinowanych ataków.
• VMRay Detector – klucz do skalowania automatycznego wykrywania złośliwego oprogramowania w całym przedsiębiorstwie, umożliwiający zespołom SOC radzenie sobie z dużymi ilościami próbek złośliwego oprogramowania.
• VMRay Email Threat Defender – efektywne narzędzie uzupełniające rozwiązania antyspamowe i antyphishingowe, wykrywające zagrożenia e-mailowe pomijane przez inne zabezpieczenia.

Kontakt dla zainteresowanych programem partnerskim VMRay: Piotr Jasiński, Business Unit Manager, Dział Security Ingram Micro, piotr.jasinski@ingrammicro.com

Artykuł VMRay zwiększa wydajność SOC i automatyzuje reakcje na incydenty pochodzi z serwisu CRN.