Jednym z największych wyzwań, na które trafiają zarządzający infrastrukturą IT, jest skorelowanie pozornie odizolowanych wydarzeń. Kiedy firewall wykrywa podejrzany ruch w urządzeniu końcowym, zwykle podaje jego adres IP. Administrator musi połączyć ten adres z konkretnym użytkownikiem i komputerem, co może wiązać się np. z długotrwałym przeglądaniem archiwalnych zapisów dziennika DHCP lub dynamicznego DNS-u. Czasem udaje się wykryć wciąż aktywny proces, dzięki wykorzystaniu komend netstat (listy wykorzystywanych portów sieciowych) i lsof (listy otwartych plików), co ułatwia określenie poziomu zagrożenia. Ale jeśli proces się zakończył lub został zablokowany przez inny mechanizm ochronny, identyfikacja rodzaju ewentualnego ataku bardzo się komplikuje.

Dlatego Sophos stworzył rozwiązanie, które zwiększa bezpieczeństwo infrastruktury IT dzięki zsynchronizowanej wymianie szczegółowych informacji między osprzętem sieciowym i urządzeniami końcowymi, takimi jak komputery, tablety czy smartfony. Płynące z tego korzyści można podzielić na dwie grupy. Po pierwsze, dzięki automatyzacji i koordynacji sposobu reagowania na wykryte zagrożenia następuje poprawa ogólnej ochrony całego środowiska. Po drugie, zwiększa się efektywność prowadzonych przez administratorów śledztw, gdyż ułatwia wykrycie, co, gdzie, kiedy się stało i jakie było źrodło problemu.

Bezpieczne bicie serca

Sophos Security Heartbeat to kanał bezpiecznej komunikacji między urządzeniami końcowymi i systemami sieciowymi. Gdy wyposażony w ten mechanizm firewall wykryje podejrzany ruch, powiadamia urządzenie końcowe. Zainstalowany w nim agent natychmiast reaguje, identyfikuje podejrzany proces i kontroluje go, a w wielu przypadkach automatycznie blokuje jego wykonywanie. Informacje o zidentyfikowanym procesie i podjętych działaniach wraz z nazwą komputera oraz zalogowanego użytkownika są przekazywane do firewalla oraz do działu IT.

Z kolei oprogramowanie klienckie w urządzeniach końcowych bez przerwy wysyła informacje o zachodzących zdarzeniach firewallowi. Gdy wykryty zostanie problem, np. próba uruchomienia podejrzanego kodu, firewall stosuje odpowiednie reguły polityki bezpieczeństwa, aby odizolować zaatakowane urządzenie lub ograniczyć jego wpływ na pracę sieci. Taka komunikacja wewnątrz sieci zapewnia efektywność pracy administratorów, szczególnie gdy konieczne jest przeprowadzenie skrupulatnego dochodzenia. Analizy zajmujące do tej pory godziny a nawet dni, zostały w pełni zautomatyzowane, a dzięki temu ich trwanie skróciło się do sekund.

Autoryzowanymi dystrybutorami rozwiązań Sophos w Polsce są AB i Konsorcjum FEN.

Artykuł powstał we współpracy z firmą Sophos.

Artykuł Synchronizacja zapewni bezpieczeństwo pochodzi z serwisu CRN.

Przyczyną takiego stanu rzeczy jest głównie bardzo duży stopień skomplikowania – zarówno systemów ochronnych, którymi trzeba zarządzać (oraz zapewnić efektywną wymianę informacji między nimi), jak i samych ataków, przed którymi przedsiębiorstwo próbuje się obronić.

Jeden za wszystkich

W firmach z reguły funkcjonuje kilka lub kilkanaście rozwiązań, których zadaniem jest zapewnienie bezpieczeństwa danych i ochrona przed atakami. Systemy zabezpieczające w firmach wprowadzane są w różnych okolicznościach, głównie w reakcji na nowe rodzaje zagrożeń i – najczęściej – bez skrupulatnej weryfikacji ich zgodności z już wykorzystywanymi rozwiązaniami. Ale kwestie związane z ich techniczną konfiguracją oraz koniecznością indywidualnego zarządzania to tylko jeden z możliwych problemów. Wyzwanie stanowi również zapanowanie nad procesem aktualizowania tych rozwiązań, zarządzanie licencjami itd.

Stosowanie wielu różnych produktów ochronnych nie jest także korzystne od strony biznesowej. Dzięki współpracy z tylko jednym dostawcą klient zyskuje znacznie lepszą pozycję negocjacyjną. Ale taki model może dać również oszczędności związane z funkcjonowaniem działu IT przedsiębiorstwa, bowiem zmniejsza wydatki na szkolenie administratorów. Znacznie spada też liczba incydentów, na które muszą oni reagować, więc ich praca staje się bardziej efektywna. Korzystanie z tylko jednego, uniwersalnego produktu eliminuje potrzebę instalacji i konfiguracji wielu różnych urządzeń i oprogramowania oraz codziennej dbałości, aby bez problemu współpracowały ze sobą.

Sophos stworzył platformę wymiany informacji dotyczących bezpieczeństwa przesyłanych pomiędzy różnymi urządzeniami w sieci – Sophos Security Heartbeat. Aby powstało środowisko wykorzystujące tę metodę ochrony, na komputerach musi być uruchomione oprogramowanie Sophos Cloud Endpoint Protection Advanced lub Sophos Cloud Enduser Protection. Rolę centralnego firewalla pełni system operacyjny Sophos Firewall OS, który może funkcjonować w kilku instancjach, m.in. w urządzeniu Sophos XG Firewall, jako programowy firewall lub w wirtualnej maszynie.

Dzięki Sophos Security Heartbeat wszystkie podłączone do sieci urządzenia komunikują się i wymieniają informacje o podejrzanym zachowaniu oprogramowania lub użytkowników próbujących dostać się do firmowych zasobów przez Internet. Centralny firewall jest w stanie odciąć podejrzane urządzenie końcowe od pozostałych i wymusić podjęcie działań, dzięki którym zweryfikowany zostanie na nim poziom ochrony. Po upewnieniu się, że dane urządzenie nie stanowi już zagrożenia, blokadę się zdejmuje.

Dodatkowe informacje dotyczące Sophos Security Heartbeat zamieszczono na stronie www.sophos.com/en-us/lp/security-heartbeat.aspx. Autoryzowanymi dystrybutorami rozwiązań Sophos w Polsce są: AB, Akbit i Konsorcjum FEN.

Dodatkowe informacje:

Sebastian Zamora, Channel Account Executive,

Sophos, sebastian.zamora@sophos.com

Artykuł powstał we współpracy z firmą Sophos.

Artykuł Zsynchronizowana ochrona sieci i urządzeń końcowych pochodzi z serwisu CRN.